prepared statement 防止sql注入

在学习数据库编程时，我们都知道在执行SQL命令时，有二种选择：

1.使用PreparedStatement对象，

2.使用Statement对象。

而熟悉JDBC编程的都会选择使用PreparedStatement对象，主要因为使用预编译对象PreparedStatement时，有以下几个优点：

1.效率性

 PreparedStatement 可以尽可能的提高访问数据库的性能，我们都知道数据库在处理SQL语句时都有一个预编译的过程，而预编译对象就是把一些格式固定的SQL编译后，存放在内存池中即数据库缓冲池，当我们再次执行相同的SQL语句时就不需要预编译的过程了，只需DBMS运行SQL语句。所以当你需要执行Statement对象多次的时候，PreparedStatement对象将会大大降低运行时间，特别是的大型的数据库中，它可以有效的也加快了访问数据库的速度。

2.使用PreparedStatement对象可以大大提高代码的可读性和可维护性。

3.可以防止sql注入

这个类的对象是通过参数？来传值的

例：

String sql = "select * from table where id = ?";

Connection con = .....///这里得到是数据库的连接

PreparedStatement ps = con.prepareStatement(sql);

ps.setInt(1,id);//这里的数据库语句所用到的参数要被设置的，如果你传入了错的值，或不同类型的值，它在插入到数据库语句中会编译不通过，这也就防止了SQL注入。