JDBC——预编译（PreparedStatemen与Statement）性能比较及防止sql注入式攻击

原创

于 2021-12-06 20:49:34 发布 · 2.2k 阅读

标签

#sql #数据库 #sqlserver

本文探讨了JDBC中的PreparedStatement和Statement的使用，强调PreparedStatement的预编译特性带来的性能优势和更好的可读性。通过示例代码展示了两者在执行效率上的差异，并指出PreparedStatement能有效防止SQL注入攻击，以提高应用程序的安全性。

写在之前：
PreparedStatement和 Statement一样，PreparedStatement也是用来执行sql语句的

与创建Statement不同的是，需要根据sql语句创建PreparedStatement
除此之外，还能够通过设置参数，指定相应的值，而不是Statement那样使用字符串拼接——这样使得使用起来不是很方便需要进行分别归类比如查询和插入等等这些操作因为它是根据sql语句内容来的不是直接拼接进去

以下示例代码具体感受以下：

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.SQLException;
import java.sql.Statement;
import java.sql.ResultSet;
import java.util.Scanner;
import java.sql.PreparedStatement;

public class JDBCtest {
   
   
	public static void main(String[] args) {
   
   
		Scanner scan =new Scanner(System.in);
		String st="";
		String st1="";
		
		System.out.println("请输入sql语句：(利用statement)");
	    st=scan.nextLine();
	    long start1=