JDBC中PreparedStatement对象详解（认真看完包学会）

JDBC（Java Database Connectivity）是Java用于访问数据库的标准API。PreparedStatement是JDBC中用于执行预编译的SQL语句的接口，能够有效地防止SQL注入，并提高性能。以下是关于PreparedStatement的详细讲解：

1. 什么是PreparedStatement

PreparedStatement是一种SQL语句的预编译版本。与Statement相比，它具有以下优势：

• 预编译：SQL语句在创建PreparedStatement对象时被预编译，随后可以多次执行该语句，而无需重新编译。
• 防止SQL注入：通过将参数传递给SQL语句，可以有效防止SQL注入攻击。
• 性能提升：由于SQL语句只需编译一次，执行时的性能会有所提升，特别是在需要多次执行相同语句的情况下。

2. 创建PreparedStatement

使用Connection对象的prepareStatement方法来创建PreparedStatement对象。示例代码如下：

Connection conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/dbname", "username", "password");
String sql = "INSERT INTO users (name, email) VALUES (?, ?)";
PreparedStatement pstmt = conn.prepareStatement(sql);

3. 设置参数

使用PreparedStatement对象的setXXX方法来设置参数，这些方法包括setInt、setString、setDate等。参数索引从1开始：

pstmt.setString(1, "John Doe");
pstmt.setString(2, "john.doe@example.com");

4. 执行SQL语句

PreparedStatement支持执行多种SQL语句，包括executeQuery、executeUpdate、execute等：

• executeQuery：用于执行SELECT查询，返回ResultSet对象。
• executeUpdate：用于执行INSERT、UPDATE或DELETE语句，返回受影响的行数。
• execute：用于执行任何SQL语句，返回一个布尔值，表示是否有ResultSet对象。

示例：

int rowsAffected = pstmt.executeUpdate();

5. 处理ResultSet

如果执行的是查询操作，可以使用ResultSet来处理结果：

ResultSet rs = pstmt.executeQuery();
while (rs.next()) {
    String name = rs.getString("name");
    String email = rs.getString("email");
    // 处理结果
}

6.批处理

PreparedStatement的批处理功能通过addBatch和executeBatch方法实现。这些方法允许我们一次性执行多条SQL语句，从而提高性能。以下是关于addBatch和executeBatch的详细讲解：

1. 批处理的概念

批处理是指将多条SQL语句作为一个批次执行。这种方式能够显著减少与数据库的交互次数，提高性能，尤其是在需要执行大量类似操作（如批量插入、更新或删除）的场景中。

2. 使用addBatch和executeBatch

2.1 addBatch方法

addBatch方法用于将一条SQL语句添加到批处理中。调用addBatch时，PreparedStatement当前设置的参数会被保存，并作为一条独立的SQL语句添加到批处理中。

2.2 executeBatch方法

executeBatch方法用于执行批处理中所有的SQL语句。该方法返回一个int数组，每个元素表示相应SQL语句执行所影响的行数。

3. 示例代码

以下是一个完整的示例代码，演示如何使用addBatch和executeBatch进行批处理操作：

import java.sql.*;

public class BatchProcessingExample {
    public static void main(String[] args) {
        String url = "jdbc:mysql://localhost:3306/dbname";
        String username = "username";
        String password = "password";

        Connection conn = null;
        PreparedStatement pstmt = null;

        try {
            conn = DriverManager.getConnection(url, username, password);

            // 插入操作
            String sql = "INSERT INTO users (name, email) VALUES (?, ?)";
            pstmt = conn.prepareStatement(sql);

            // 设置第一条记录
            pstmt.setString(1, "John Doe");
            pstmt.setString(2, "john.doe@example.com");
            pstmt.addBatch();

            // 设置第二条记录
            pstmt.setString(1, "Jane Doe");
            pstmt.setString(2, "jane.doe@example.com");
            pstmt.addBatch();

            // 设置第三条记录
            pstmt.setString(1, "Sam Smith");
            pstmt.setString(2, "sam.smith@example.com");
            pstmt.addBatch();

            // 执行批处理
            int[] result = pstmt.executeBatch();
            System.out.println("Batch executed successfully.");

            // 输出结果
            for (int i = 0; i < result.length; i++) {
                System.out.println("Statement " + (i + 1) + ": " + result[i] + " row(s) affected.");
            }
        } catch (SQLException e) {
            e.printStackTrace();
        } finally {
            try {
                if (pstmt != null) pstmt.close();
                if (conn != null) conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }
}

4. 处理大批量数据

在处理大批量数据时，建议分批次执行，以避免内存占用过高或超时问题。例如，可以每处理1000条记录执行一次executeBatch：

int batchSize = 1000;
int count = 0;

while (/* 有更多数据要处理 */) {
    // 设置参数
    pstmt.setString(1, /* name */);
    pstmt.setString(2, /* email */);
    pstmt.addBatch();

    if (++count % batchSize == 0) {
        pstmt.executeBatch();
    }
}

// 执行剩余的批处理
pstmt.executeBatch();

5. 批处理小结

通过addBatch和executeBatch，我们可以利用批处理来提高执行大量SQL语句时的性能。这种方法在大规模数据操作（如批量插入、更新或删除）时尤其有用。理解并正确使用这些方法，有助于编写高效的数据库访问代码。

7. 关闭资源

使用完毕后，应关闭PreparedStatement和其他数据库资源，以释放数据库连接和其他资源：

rs.close();
pstmt.close();
conn.close();

8. 示例代码

以下是一个完整的示例代码，演示如何使用PreparedStatement来执行插入和查询操作：

import java.sql.*;

public class PreparedStatementExample {
    public static void main(String[] args) {
        String url = "jdbc:mysql://localhost:3306/dbname";
        String username = "username";
        String password = "password";

        Connection conn = null;
        PreparedStatement pstmt = null;
        ResultSet rs = null;

        try {
            conn = DriverManager.getConnection(url, username, password);

            // 插入操作
            String insertSQL = "INSERT INTO users (name, email) VALUES (?, ?)";
            pstmt = conn.prepareStatement(insertSQL);
            pstmt.setString(1, "Jane Doe");
            pstmt.setString(2, "jane.doe@example.com");
            int rowsAffected = pstmt.executeUpdate();
            System.out.println("Inserted " + rowsAffected + " row(s).");

            // 查询操作
            String selectSQL = "SELECT name, email FROM users";
            pstmt = conn.prepareStatement(selectSQL);
            rs = pstmt.executeQuery();
            while (rs.next()) {
                String name = rs.getString("name");
                String email = rs.getString("email");
                System.out.println("Name: " + name + ", Email: " + email);
            }
        } catch (SQLException e) {
            e.printStackTrace();
        } finally {
            try {
                if (rs != null) rs.close();
                if (pstmt != null) pstmt.close();
                if (conn != null) conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }
}

9. 总结

PreparedStatement在JDBC中提供了一个强大而灵活的工具，用于执行SQL语句，具有预编译、参数化查询、批处理sql语句、性能提升和防止SQL注入等优势。通过了解并正确使用PreparedStatement，可以编写更安全和高效的数据库访问代码。