JDBC学习之路-PreparedStatement

PreparedStatement
l 它是Statement接口的子接口；
强大之处：
Ø 防SQL攻击；
Ø 提高代码的可读性、可维护性；
Ø 提高效率！
l 学习PreparedStatement的用法：
Ø 如何得到PreparedStatement对象：
¨ 给出SQL模板！
¨ 调用Connection的PreparedStatement prepareStatement(String sql模板)；
¨ 调用pstmt的setXxx()系列方法sql模板中的?赋值！
¨ 调用pstmt的executeUpdate()或executeQuery()，但它的方法都没有参数。
l 预处理的原理
Ø 服务器的工作：
¨ 校验sql语句的语法！
¨ 编译：一个与函数相似的东西！
¨ 执行：调用函数
Ø PreparedStatement：
¨ 前提：连接的数据库必须支持预处理！几乎没有不支持的！
¨ 每个pstmt都与一个sql模板绑定在一起，先把sql模板给数据库，数据库先进行校验，再进行编译。执行时只是把参数传递过去而已！
¨ 若二次执行时，就不用再次校验语法，也不用再次编译！直接执行！
防止SQL攻击
l 过滤用户输入的数据中是否包含非法字符；
l 分步交验！先使用用户名来查询用户，如果查找到了，再比较密码；
l 使用PreparedStatement。
PreparedStatement是什么？
PreparedStatement也叫预编译声明！
PreparedStatement是Statement的子接口，你可以使用PreparedStatement来替换Statement。
PreparedStatement的好处：
l 防止SQL攻击；
l 提高代码的可读性，以可维护性；
l 提高效率。

PreparedStatement的使用
l 使用Connection的prepareStatement(Stringsql)：即创建它时就让它与一条SQL模板绑定；
l 调用PreparedStatement的setXXX()系列方法为问号设置值
l 调用executeUpdate()或executeQuery()方法，但要注意，调用没有参数的方法；

在使用Connection创建PreparedStatement对象时需要给出一个SQL模板，所谓SQL模板就是有“?”的SQL语句，其中“?”就是参数。
在得到PreparedStatement对象后，调用它的setXXX()方法为“?”赋值，这样就可以得到把模板变成一条完整的SQL语句，然后再调用PreparedStatement对象的executeQuery()方法获取ResultSet对象。
注意PreparedStatement对象独有的executeQuery()方法是没有参数的，而Statement的executeQuery()是需要参数（SQL语句）的。因为在创建PreparedStatement对象时已经让它与一条SQL模板绑定在一起了，所以在调用它的executeQuery()和executeUpdate()方法时就不再需要参数了。
PreparedStatement最大的好处就是在于重复使用同一模板，给予其不同的参数来重复的使用它。这才是真正提高效率的原因。

批处理
Statement批处理
批处理就是一批一批的处理，而不是一个一个的处理！
当你有10条SQL语句要执行时，一次向服务器发送一条SQL语句，这么做效率上很差！处理的方案是使用批处理，即一次向服务器发送多条SQL语句，然后由服务器一次性处理。
批处理只针对更新（增、删、改）语句，批处理没有查询什么事儿！

可以多次调用Statement类的addBatch(Stringsql)方法，把需要执行的所有SQL语句添加到一个“批”中，然后调用Statement类的executeBatch()方法来执行当前“批”中的语句。
l void addBatch(String sql)：添加一条语句到“批”中；
l int[] executeBatch()：执行“批”中所有语句。返回值表示每条语句所影响的行数据；
l void clearBatch()：清空“批”中的所有语句。

当执行了“批”之后，“批”中的SQL语句就会被清空！也就是说，连续两次调用executeBatch()相当于调用一次！因为第二次调用时，“批”中已经没有SQL语句了。
还可以在执行“批”之前，调用Statement的clearBatch()方法来清空“批”！
PreparedStatement批处理
PreparedStatement的批处理有所不同，因为每个PreparedStatement对象都绑定一条SQL模板。所以向PreparedStatement中添加的不是SQL语句，而是给“?”赋值。