Java 中 PreparedStatement 和 Statement 详细讲解

在 Java 中执行 SQL 操作时，通常会使用 Statement 或 PreparedStatement 对象。PreparedStatement 对象是 Statement 的一种特殊形式，它允许我们预处理 SQL 语句，从而提高 SQL 查询的性能和安全性。在本文中，将会深入讲解 PreparedStatement 和 Statement 的区别和使用方法，并提供相关的示例代码。

Statement

Statement 是 Java SQL API 中执行静态 SQL 语句的主要方式，它是一个接口，定义了执行 SQL 语句、更新数据库、获取 ResultSet、关闭资源等方法。Statement 的工作流程如下：

1. 创建一个连接
2. 创建一个 Statement 对象
3. 执行 SQL 语句
4. 处理结果集
5. 关闭资源

Statement 示例代码

以下示例演示了如何执行 SELECT 语句并处理结果集。

public void selectData() throws SQLException {
    Connection conn = DriverManager.getConnection(url, username, password);
    Statement stmt = conn.createStatement();
    ResultSet rs = stmt.executeQuery("SELECT id,name,email FROM users");
    while (rs.next()) {
        int id = rs.getInt("id");
        String name = rs.getString("name");
        String email = rs.getString("email");

        System.out.printf("ID: %d, Name: %s, Email: %s %n", id, name, email);
    }
    rs.close();
    stmt.close();
    conn.close();
}

PreparedStatement

PreparedStatement 对象是 Statement 的子类，它可以通过动态参数设置来预处理 SQL 语句，从而提高性能和安全性。PreparedStatement 的工作流程如下：

1. 创建一个连接
2. 创建一个 PreparedStatement 对象
3. 设置参数
4. 执行 SQL 语句
5. 处理结果集
6. 关闭资源

PreparedStatement 示例代码

以下示例演示了如何执行 INSERT 语句。

public void insertData() throws SQLException {
    Connection conn = DriverManager.getConnection(url, username, password);
    String insertSql = "INSERT INTO users (name, email, age) VALUES (?, ?, ?)";
    PreparedStatement pstmt = conn.prepareStatement(insertSql);

    pstmt.setString(1, "John");
    pstmt.setString(2, "[e-mail]");
    pstmt.setInt(3, 30);

    int rowsAffected = pstmt.executeUpdate();
    System.out.println(rowsAffected + " rows affected");

    pstmt.close();
    conn.close();
}

在上面的示例中，insertSql 中的参数使用问号占位符，然后使用 setString() 和 setInt() 方法设置了这些参数的值。最后，executeUpdate() 方法被用来执行 INSERT 语句。

区别

PreparedStatement 与 Statement 的最大区别在于参数的设置。在使用 PreparedStatement 时，可以将 SQL 语句中的参数用 ? 代替，然后在执行 SQL 之前，通过一系列的 setXXX() 方法设置参数的值。

语句执行效率上来说，PreparedStatement 和 Statement 之间没有本质区别。但在某些情境下，使用 PreparedStatement 要更优（如执行多次相似的 SQL 语句时，使用 PreparedStatement 会更快）。

此外，使用 PreparedStatement 可以有效防止 SQL 注入攻击。由于在使用时支持参数化设置，使用 PreparedStatement 可以有效防止 SQL 注入攻击。

总结

PreparedStatement 和 Statement 都是 Java 中执行 SQL 操作的重要 API，它们的使用方法和工作流程都有不同。总的来说，PreparedStatement 的优点在于它的参数设置更加方便而且更加安全，能够有效避免 SQL 注入问题。而 Statement 的优点是适合简单的 SQL 操作。

在实际应用中，根据具体的应用场景和代码实现来选择使用其中一种对象才能更好地发挥出它们的优点。