Android为什么不直接使用SQL?

SQLite是一个开源的数据库，经过一段时间的发展，它已经非常稳定，成为包括Android在内的许多小型设备平台的首选。 Android选择SQLite的理由有：

• 零配置。开发者不必对数据库本身做任何配置，这就降低了它的使用门槛。
• 无需服务器。SQLite 不需要独立的进程，而是以库的形式提供它的功能。省去服务器，可以让你省心不少。
• 单文件数据库。这一特性允许你直接使用文件系统的权限机制来保护数据。Android将每个应用程序的数据都放在独立的安全沙盒(sandbox)中，这点我们已经有所了解。
• 开放源码。

Android 框架提供了几套不同的接口，允许开发者简单高效地访问 SQLite 数据库。本章我们将关注最基本的那套接口。SQLite 的默认接口是SQL。

那为什么Android系统不直接使用SQL,而是提供一个DBHelper类来操作数据库.

DbHelper类提供了自己的封装来简化SQL操作。经观察人们发现，绝大多数的数据库操作不外乎只有四种，也就是添加(Create)、查询(Query)、修改(Update)、删除(Delete)，简称为 CRUD.

insert()向数据库中插入一行或多行.

query()查询符合条件的行.

update()更新符合条件的行.

delete()删除符合条件的行.

那么，为什么不直接使用 SQL 呢？有三个主要的原因：

首先从安全角度考虑，直接使用 SQL 语句很容易导致 SQL 注入攻击。 这是因为 SQL 语句中会包含用户的输入， 而用户的输入都是不可信任的，不加检查地构造 SQL 语句的话，很容易导致安全漏洞。

其次从性能的角度，重复执行SQL语句非常耗时，因为每次执行都需要对其进行解析。

最后，使用 DbHelper 有助于提高程序的健壮性，使得许多编程错误可以在编译时发现。若是使用 SQL，这些错误一般得到运行时才能被发现。

很遗憾，Android框架对SQL的DDL(Data Definition Language,数据定义语言)部分支持不多，缺少相应的封装。因此要创建表，我们只能通过execSQL()调用来运行CREATE TABLE之类的SQL语句。但这里不存在用户输入，也就没有安全问题；而且这些代码都很少执行，因此也不会对性能造成影响。

本文部分内容转自:http://dev.icybear.net/learning-android-cn/book.html#toc69