为什么要使用PreparedStatement并且其能防止sql注入

最新推荐文章于 2024-09-16 22:16:18 发布

白鸽呀

最新推荐文章于 2024-09-16 22:16:18 发布

阅读量1.1k

点赞数 1

分类专栏： Java核心编程数据库文章标签： java mysql

本文链接：https://blog.csdn.net/qq_44787816/article/details/119616988

版权

Java核心编程同时被 2 个专栏收录

32 篇文章 1 订阅

订阅专栏

数据库

26 篇文章 0 订阅

订阅专栏

本文探讨了PreparedStatement与Statement在执行效率、代码可读性和安全性上的差异。PreparedStatement通过预编译提供更高的效率，同时增强代码可读性，使用占位符避免SQL注入问题。文章通过案例说明了PreparedStatement如何防止SQL注入，强调了其在防止安全风险上的优势。

摘要由CSDN通过智能技术生成

1，执行效率：Statement 采取直接编译 SQL 语句的方式，扔给数据库去执行，而 PreparedStatement 则先将 SQL 语句预编译一遍，再填充参数，这样效率会高一些。JDK 文档说：SQL 语句被预编译并且存储在 PreparedStatement 对象中，其后可以使用该对象高效地多次执行该语句。

2，代码可读性：Statement 中 SQL 语句中需要 Java 中的变量，加就得进行字符串的运算，还需要考虑一些引号、单引号的问题，参数变量越多，代码就越难看，而且会被单引号、双引号搞疯掉；而 PreparedStatement，则不需要这样，参数可以采用“?”占位符代替，接下来再进行参数的填充，这样利于代码的可读性，并且符合面向对象的思想。

3，安全性：Statement 由于可能需要采取字符串与变量的拼接，很容易进行 SQL 注入攻击，而 PreparedStatement 由于是预
编译，再填充参数的，不存在 SQL 注入问题。

案例解释

使用preparedStatement之后sql

select username,age,sex from user where name = ? ；

注意：相关框架例如mybatis会对其预编译，并且缓存起来。

接着我们就可以往 “？”填值了。

例如：name = "张三; drop table user;"

最终sql语句变成这样：
select username,age,sex from user where name = '张三; drop table user;'；

这样实际就是比较name是否 = 张三; drop table user; 防止sql注入。

如果使用statement就是直接拼接sql，就产生sql注入了，而且每次获取statement会进行编译一次，效率低。