MySQL-SQL注入问题（预编译处理）

当服务器向数据发送访问请求，在sql语句中夹杂特殊字符，在与查询语句进行拼接时，导致sql语句产生了歧义。
当用户登陆时，加入输入的帐号或密码并不存在，但是在帐号或密码中输入如下：

a' or 'a'='a

此时结果会显示为登陆成功。
原查询语句：
select name from users where username=‘帐号’ and password = ‘密码’
拼接后
select name from users where username=‘123’ and password = ‘a’ or ‘a’=‘a’
解决sql注入问题：
通过将SQL语句与参数分离，将参数作为SQL的特殊部分进行预处理。

PreparedStatement 预编译的SQL执行环境

MySQL内部实现原理：
1. 将未拼接参数的SQL语句作为SQL指令，先段递给数据库进行预编译。
2. 再将参数传递给数据库，此时传递的参数不会再作为指令执行，会被当成文本处理。

操作流程：

//1.创建数据库连接
Connection conn = DriverManager.getConnection("jdbc.mysql://localhost:3306/test?useUnicode=true&charset=utf-8","root","");
//2.将没有参数的SQL语句进行预编译
PreparedStatement state =  conn.prepareStatement("select * from users where username=? and password=?");
//3.设置参数
state.setString(1,"myusername");
state.setString(2,"mypassword");
//4.执行sql语句
Resultset result = state.executeQuery();

PreparedStatement与Statement的性能？

在mysql中，prepardStatement原理是拼接SQL，所以Statement性能高。
在Oracle中，preparedStatement原理是对SQL指令进行预处理，再传递的参数不具备特殊含义，有更好的SQL缓存策略，所以preparedStatement性能高。

1.Statement、PreparedStatement和CallableStatement都是接口(interface)。
2.Statement继承自Wrapper、PreparedStatement继承自Statement、CallableStatement继承自PreparedStatement。
3.
Statement接口提供了执行语句和获取结果的基本方法；
PreparedStatement接口添加了处理 IN 参数的方法；
CallableStatement接口添加了处理 OUT 参数的方法。
4.
a.Statement:
普通的不带参的查询SQL；支持批量更新,批量删除;
b.PreparedStatement:
可变参数的SQL,编译一次,执行多次,效率高;
安全性好，有效防止Sql注入等问题;
支持批量更新,批量删除;
c.CallableStatement:
继承自PreparedStatement,支持带参数的SQL操作;
支持调用存储过程,提供了对输出和输入/输出参数(INOUT)的支持;

Statement每次执行sql语句，数据库都要执行sql语句的编译 ，
最好用于仅执行一次查询并返回结果的情形，效率高于PreparedStatement。

PreparedStatement是预编译的，使用PreparedStatement有几个好处

1. 在执行可变参数的一条SQL时，PreparedStatement比Statement的效率高，因为DBMS预编译一条SQL当然会比多次编译一条SQL的效率要高。
2. 安全性好，有效防止Sql注入等问题。
3. 对于多次重复执行的语句，使用PreparedStament效率会更高一点，并且在这种情况下也比较适合使用batch；
4. 代码的可读性和可维护性。