Statement 和 PreparedStatement 的区别

Statement和PreparedStatement都是Java中操作关系数据库的接口，它们有一定的区别。

Statement

Statement提供了三种执行SQL语句的方法：

• execute(String sql): 可执行任何SQL语句。返回一个boolean值，表示执行的SQL语句是否返回ResultSet类型的结果集。
• executeQuery(String sql): 可执行标准SQL查询语句。返回一个ResultSet类型的结果集。
• executeUpdate(String sql): 用于执行INSERT、UPDATE或DELETE等SQL语句，返回值是一个int型数值，表示被影响的行数。

Statement存在一些安全问题，容易被SQL注入攻击，因为语句中的参数直接拼接在字符串中。

PreparedStatement

PreparedStatement是Statement接口的子接口。PreparedStatement可以重用已经编译的语句，并且可以使用占位符，所以PreparedStatement是更加灵活和安全的一种选择。

PreparedStatement只有两种执行SQL语句的方法：

• executeQuery(): 可执行标准SQL查询语句。返回一个ResultSet类型的结果集。
• executeUpdate(): 用于执行INSERT、UPDATE或DELETE等SQL语句，返回值是一个int型数值，表示被影响的行数。

PreparedStatement使用问号占位符(?)代替Statement中的字符串拼接，提高了程序的安全性和可读性。如下面的实例：

示例一

假设有一张用户表my_users，其中包含id、name和email字段，现在要向其中添加一条用户信息，可以使用PreparedStatement进行操作：

String sql = "INSERT INTO my_users (name, email) VALUES (?, ?)";
PreparedStatement ps = connection.prepareStatement(sql);
ps.setString(1, "Alex");
ps.setString(2, "[e-mail]");
int rows = ps.executeUpdate();

在上面的代码中，使用了占位符来代替了真正的值，PreparedStatement会自动处理这些占位符。这样做可以有效地预防SQL注入攻击。

示例二

接下来考虑一个需要执行多次的查询操作，比如通过用户ID来查询用户信息，可以使用PreparedStatement进行优化：

String sql = "SELECT * FROM my_users WHERE id=?";
PreparedStatement ps = connection.prepareStatement(sql);

for (int i = 1; i <= 10; i++) {
    ps.setInt(1, i);
    ResultSet rs = ps.executeQuery();
    if (rs.next()) {
        System.out.println("User: " + rs.getString("name") + ", Email: " + rs.getString("email"));
    }
}

在上面的代码中，使用了PreparedStatement进行查询操作，并且通过循环变量i设置了?的值，可以很方便地进行多次查询而不需要重复编译SQL语句。

综上所述，虽然Statement和PreparedStatement都可以执行SQL语句，但PreparedStatement更加灵活和安全，能够预防SQL注入攻击，并且支持重用语句。