一、PreparedStatement概述
可以通过调用 Connection 对象的 preparedStatement(String sql) 方法获取 PreparedStatement 对象。PreparedStatement 接口是 Statement 的子接口,它表示一条预编译过的 SQL 语句。PreparedStatement 对象所代表的 SQL 语句中的参数用问号(?)来表示,调用 PreparedStatement 对象的 setXxx() 方法来设置这些参数. setXxx() 方法有两个参数,第一个参数是要设置的 SQL 语句中的参数的索引(从 1 开始),第二个是设置的 SQL 语句中的参数的值。ResultSet executeQuery()执行查询,并返回该查询生成的 ResultSet 对象。
int executeUpdate():执行更新,包括增、删、该
二、Statement的不足
1)SQL拼接
2)SQL注入
SQL 注入是利用某些系统没有对用户输入的数据进行充分的检查,而在用户输入数据中注入非法的 SQL 语句段或命令,从而利用系统的 SQL 引擎完成恶意行为的做法。对于 Java 而言,要防范 SQL 注入,只要用 PreparedStatement 取代 Statement 就可以了。
3)处理Blob类型的数据
BLOB (binary large object),二进制大对象,BLOB常常是数据库中用来存储二进制文件的字段类型。插入BLOB类型的数据必须使用PreparedStatement,因为BLOB类型的数据无法使用字符串拼接写的。MySQL的四种BLOB类型(除了在存储的最大信息量上不同外,他们是等同的)。如果还是报错:xxx too large,那么在mysql的安装目录下,找my.ini文件加上如下的配置参数:max_allowed_packet=16M
注意:修改了my.ini文件,一定要重新启动服务
实际使用中根据需要存入的数据大小定义不同的BLOB类型。
需要注意的是:如果存储的文件过大,数据库的性能会下降。
三、PreparedStatement vs Statement
l代码的可读性和可维护性. Statement的sql拼接是个难题。
lPreparedStatement 可以防止 SQL 注入
lPreparedStatement 可以处理Blob类型的数据
lPreparedStatement 能最大可能提高性能:(Oracle和PostgreSQL8是这样,但是对于MySQL不一定比Statement高)
nDBServer会对预编译语句提供性能优化。因为预编译语句有可能被重复调用,所以语句在被DBServer的编译器编译后的执行代码被缓存下来,那么下次调用时只要是相同的预编译语句就不需要编译,只要将参数直接传入编译过的语句执行代码中就会得到执行。
n在statement语句中,即使是相同操作但因为数据内容不一样,所以整个语句本身不能匹配,没有缓存语句的意义.事实是没有数据库会对普通语句编译后的执行代码缓存.这样每执行一次都要对传入的语句编译一次.
n(语法检查,语义检查,翻译成二进制命令,缓存)
- 示例代码
package com.atguigu.preparedstatement;
import java.io.FileInputStream;
import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.util.Scanner;
import org.junit.Test;
import com.atguigu.utils.JDBCUtils;
/*
* PreparedStatement:是Statement子接口
* 1、SQL不需要拼接
* 2、SQL不会出现注入
* 3、可以处理Blob类型的数据
* tinyblob:255字节以内
* blob:65K以内
* mediumblob:16M以内
* longblob:4G以内
*
* 如果还是报错:xxx too large,那么在mysql的安装目录下,找my.ini文件加上如下的配置参数:
* max_allowed_packet=16M
* 注意:修改了my.ini文件,一定要重新启动服务
*
*/
public class TestPreparedStatement {
@Test
public void add() throws Exception {
Scanner input = new Scanner(System.in);
System.out.println("请输入姓名:");
String name = input.nextLine();
System.out.println("请输入性别:");
String gender = input.nextLine();
System.out.println("请输入领导编号:");
int mid = input.nextInt();
System.out.println("请输入部门编号:");
int did = input.nextInt();
String sql = "INSERT INTO emp VALUES(NULL,?,?,?,?)";// 参数,占位符,通配符,表示这个地方需要设置值
// 2、获取连接
Connection conn = JDBCUtils.getConnection();
// 3、准备一个PreparedStatement:预编译sql
PreparedStatement pst = conn.prepareStatement(sql);// 对带?的sql进行预编译
// 4、把?用具体的值进行代替
pst.setString(1, name);
pst.setString(2, gender);
pst.setInt(3, mid);
pst.setInt(4, did);
// 5、执行sql
int len = pst.executeUpdate();
// 6、释放资源
JDBCUtils.closeQuietly(pst, conn);
}
@Test
public void select() throws Exception {
// 3、写sql
Scanner input = new Scanner(System.in);
System.out.println("请输入姓名:");
String name = input.nextLine();
// 孙红雷 ' or '1' = '1
String sql = "SELECT eid,ename,tel,gender,salary FROM t_employee WHERE ename = ?";
// 1、注册驱动,注册过了
// 2、获取连接
Connection conn = JDBCUtils.getConnection();
// 3、把带?的sql语句进行预编译
PreparedStatement pst = conn.prepareStatement(sql);
// 4、把?用具体的变量的赋值
pst.setString(1, name);
// 5、执行sql
ResultSet rs = pst.executeQuery();
while (rs.next()) {
int id = rs.getInt("eid");
String ename = rs.getString("ename");
String tel = rs.getString("tel");
String gender = rs.getString("gender");
double salary = rs.getDouble("salary");
System.out.println(id + "\t" + ename + "\t" + tel + "\t" + gender + "\t" + salary);
}
// 6、释放资源
JDBCUtils.closeQuietly(rs, pst, conn);
}
@Test
public void addBlob() throws Exception {
Scanner input = new Scanner(System.in);
System.out.println("请输入用户名:");
String username = input.nextLine();
System.out.println("请输入密码:");
String password = input.nextLine();
System.out.println("请指定照片的路径:");
String photoPath = input.nextLine();
// INSERT INTO `user` VALUES(NULL,用户名,密码,照片)
String sql = "INSERT INTO `user` VALUES(NULL,?,?,?)";
// 1、注册驱动,注册过了
// 2、获取连接
Connection conn = JDBCUtils.getConnection();
// 3、准备一个PreparedStatement:预编译sql
PreparedStatement pst = conn.prepareStatement(sql);// 对带?的sql进行预编译
// 4、对?进行设置
pst.setString(1, username);
pst.setString(2, password);
pst.setBlob(3, new FileInputStream(photoPath));
// 5、执行sql
int len = pst.executeUpdate();
System.out.println(len > 0 ? "添加成功" : "添加失败");
// 6、释放资源
JDBCUtils.closeQuietly(pst, conn);
}
}