JDBC PrepareStatement 的使用（附各种场景 demo）

原创 已于 2024-01-23 22:10:41 修改 · 4.4k 阅读 · 27 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#microsoft #oracle #数据库

于 2024-01-12 18:56:55 首次发布
本文详细介绍了Java中PreparedStatement的作用、原理、与Statement的区别，以及如何利用PreparedStatement进行参数化查询、防止SQL注入，还探讨了批量处理、执行效率提升的方法。

文末有惊喜哦 👇👇👇

在 Java 中，与关系型数据库进行交互是非常常见的任务之一。JDBC（Java Database Connectivity）是 Java 平台的一个标准 API，用于连接和操作各种关系型数据库。其中，PreparedStatement 是 JDBC 中的一个重要接口，用于执行预编译的 SQL 语句。

什么是 PreparedStatement

1）PreparedStatement 继承自 Statement ，是 Statement 的一种扩展；

2）PreparedStatement 特点：使用 PreparedStatement 可以执行动态参数化 sql（在 sql 语句中用占位符 ?）；

3）PreparedStatement 原理：在我们调用 PreparedStatement 对象（sqlStatement）的时候，我们需要将一个半成品 sql 语句交给 sqlStatement，sqlStatement 拿着这个 sql 先发送到数据库，进行预编译（检查语法，检查权限），当我们调用 sqlStatement.setXXX() 的时候，再一起把占位符设置的动态参数值一起发送到数据库执行，不用再编译当前的sql语句，这样可以大大的节省时间，提高运行效率。

什么是 SQL 注入风险

一些黑客，将一些特殊的字符通过字符串拼接的方式注入到 sql 语句中，改变 sql 语句原有的运行逻辑，从而威胁到数据库的安全，这种现象叫做 sql 注入。

Statement 和 PreparedStatement 的区别

1）使用 Statement 执行 SQL 语句，是以字符串拼接的方式给 SQL 语句加入参数，这个时候存在 sql 注入风险；

2）使用 PreparedStatement 执行 SQL 语句，是以参数拼接（setXXX() 函数）的方式给 SQL 语句加入参数，预编译的方式能有效防止 SQL 注入；

3）PreparedStatement 和 Statement 的生命周期，都是一次数据库连接，PreparedStatement 的可重用是由于连接池管理器有缓存功能，PreparedStatement 编译时会被记录到列表，并在下次访问时返回；

4）PreparedStatement 能在一次连接中，对数据进行批量更新（Batch 功能），减少服务与数据库的交互次数，网络往返是影响性能的重要指标；

5）Statement 适用于少次或者一次的查询，PreparedStatement 适用于多次或者一次做多量的查询；　　

6）对于只执行一次的 SQL 语句选择 Statement 是最好的，因为只执行一次的 SQL 语句使用 PreparedStatement 反而比 Statement 更耗时；

7）PreparedStatement 代码的可读性高，可维护性好；

创建 PreparedStatement

要创建一个 PreparedStatement 对象，首先需要获得一个 Connection 对象，然后使用 prepareStatement 方法传入 SQL 语句。下面举几个具体示例：

数据准备

create database jdbc;

CREATE TABLE t1 (
        c1 int,
        c2 int,
        c3 char(10),
        PRIMARY KEY (c1),
        KEY(c2)
);

INSERT INTO t1 VALUES (1, 6, '3');
INSERT INTO t1 VALUES (2, 3, '4');
INSERT INTO t1 VALUES (3, 4, '1');
INSERT INTO t1 VALUES (4, 1, '6');
INSERT INTO t1 VALUES (5, 2, '2');
INSERT INTO t1 VALUES (6, 5, '5');
INSERT INTO t1 VALUES (7, 8, '9');
INSERT INTO t1 VALUES (8, 9, '7');
INSERT INTO t1 VALUES (9, 7, '8');

执行 select 语句

下面以执行 select 语句为例，并输出查询结果：

try {
    Connection connection = DriverManager.getConnection(url, username, password);
    System.out.println("Connected to the database!");

    /* ----------------------------------------------------------------------- */
    // 2) execute SQL
    try {
        String sql = "SELECT * FROM t1 WHERE c1 > ?";   // sql 查询语句使用 ? 作为占位符
        PreparedStatement preparedStatement = connection.prepareStatement(sql);

        // set parameter
        preparedStatement.setInt(1, 5);     // 此处的 1 是指 sql 中的第 1 个参数

        // execute query
        ResultSet resultSet = preparedStatement.executeQuery();

        // show select result
        while (resultSet.next()) {
            int c1 = resultSet.getInt("c1");
            int c2 = resultSet.getInt("c2");
            String c3 = resultSet.getString("c3");
            System.out.println("c1: " + c1 + ", c2: " + c2 + ", c3: " + c3);
        }
    } catch (SQLException e) {
        e.printStackTrace();
        System.out.println("executeQuery fail!");
    }
    connection.close();    // close PreparedStatement
} catch (SQLException e) {
    e.printStackTrace();
}

PreparedStatement 允许我们为 SQL 语句中的占位符设置参数值。有多种 setXXX 方法可用于不同数据类型的参数设置，例如 setInt、setString、setDouble 等，其中 setXXX 方法中的第一个参数是指 SQL 语句中的第几个占位符。

执行结果如下：

执行 update 语句

try {
    Connection connection = DriverManager.getConnection(url, username, password);
    System.out.println("Connected to the database!");

    /* ----------------------------------------------------------------------- */
    // 2) execute SQL
    try {
        String sql = "UPDATE t1 SET c3 = ? WHERE c1 = ?";   // sql 查询语句使用 ? 最为占位符
        PreparedStatement preparedStatement = connection.prepareStatement(sql);

        // set parameter
        preparedStatement.setString(1,"9");
        preparedStatement.setInt(2, 9);

        // execute query
        int rowCount = preparedStatement.executeUpdate();    // 统计更新的行数

        // show select result
        System.out.println("Updated " + rowCount + " rows.");
    } catch (SQLException e) {
        e.printStackTrace();
        System.out.println("executeUpdated fail!");
    }
    connection.close();    // close PreparedStatement
} catch (SQLException e) {
    e.printStackTrace();
}

执行结果如下：

执行批处理

当需要批量插入或更新记录时，可以采用 Java 的批量更新机制，这一机制允许多条 SQL 语句一次性提交给数据库。通常情况下，批量提交处理比单独提交处理效率要高很多，JDBC 批量处理 SQL 语句主要使用以下三个方法：

  • addBatch(String)：添加需要批量处理的 SQL 语句或参数；
  • executeBatch()：执行批量处理语句；
  • clearBatch():清空缓存的数据；

通常我们会遇到两种批量执行 SQL 语句的情况：

  • 一个 SQL 语句的批量传参；
  • 多条 SQL 语句的批量处理；

批处理的两个重要参数：

  • allowMultiQueries：是否允许一次性执行多条 SQL，默认为 false；
select * from t1;select * from t1;

 注意：因为它允许一次执行多个查询，所以它可能导致应用程序被某些类型的 SQL 注入攻击；

  • rewriteBatchedStatements：是否允许将 SQL 语句批量传给 MySQL，默认为 false；若想让 MySQL 支持批处理，可以将 ?rewriteBatchedStatements=true 写在 url 的后面；
String url = "jdbc:mysql://172.19.108.205:3306/jdbc?rewriteBatchedStatements=true";

下面几种场景是往表 t1 中插入 10000 条记录，然后对比不同插入方式的耗时：

方式一：循环批量传参

try {
    long start = System.currentTimeMillis();    // start time

    Connection connection = DriverManager.getConnection(url, username, password);
    System.out.println("Connected to the database!");

    /* ----------------------------------------------------------------------- */
    // 2) execute SQL
    try {
        String insertSql = "INSERT INTO t1 (c1, c2, c3) VALUES (?, ?, ?)";
        PreparedStatement insertStatement = connection.prepareStatement(insertSql);

        // set parameter
        for (int i =10; i <= 10000; i++) {
            insertStatement.setInt(1, i);
            insertStatement.setInt(2, i);
            insertStatement.setString(3, Integer.toString(i));

            // execute query
            insertStatement.executeUpdate();
        }

        long end = System.currentTimeMillis();
        System.out.println("cost time：" + (end - start));
    } catch (SQLException e) {
        e.printStackTrace();
        System.out.println("executeUpdated fail!");
    }
    connection.close();
} catch (SQLException e) {
    e.printStackTrace();
}

执行结果如下：

说明：从执行结果可知，方式一批量处理时，耗时：34886

方式二：批处理函数

使用 executeBatch 批量执行；

try {
    long start = System.currentTimeMillis();    // start time

    Connection connection = DriverManager.getConnection(url, username, password);
    System.out.println("Connected to the database!");

    /* ----------------------------------------------------------------------- */
    // 2) execute SQL
    try {
        String insertSql = "INSERT INTO t1 (c1, c2, c3) VALUES (?, ?, ?)";
        PreparedStatement insertStatement = connection.prepareStatement(insertSql);

        // set parameter
        for (int i =10; i <= 10000; i++) {
            insertStatement.setInt(1, i);
            insertStatement.setInt(2, i);
            insertStatement.setString(3, Integer.toString(i));

            insertStatement.addBatch();     //  add sql
            if(i % 1000 == 0) {
                insertStatement.executeBatch();     // execute sql
                insertStatement.clearBatch();   // clean batch
            }
        }

        long end = System.currentTimeMillis();
        System.out.println("cost time：" + (end - start));
    } catch (SQLException e) {
        e.printStackTrace();
        System.out.println("executeUpdated fail!");
    }
    connection.close();
} catch (SQLException e) {
    e.printStackTrace();
}

执行结果如下：

说明：从执行结果可知，方式一批量处理时，耗时：2585

方式三：统一提交事务

使用 setAutoCommit(false) 关闭事务自提交，等待数据批量插入结束后，统一 commit；

try {
    long start = System.currentTimeMillis();    // start time

    Connection connection = DriverManager.getConnection(url, username, password);
    System.out.println("Connected to the database!");

    /* ----------------------------------------------------------------------- */
    // 2) execute SQL
    try {
        connection.setAutoCommit(false);
        String insertSql = "INSERT INTO t1 (c1, c2, c3) VALUES (?, ?, ?)";
        PreparedStatement insertStatement = connection.prepareStatement(insertSql);

        // set parameter
        for (int i =10; i <= 10000; i++) {
            insertStatement.setInt(1, i);
            insertStatement.setInt(2, i);
            insertStatement.setString(3, Integer.toString(i));

            insertStatement.addBatch();     //  add sql
            if(i % 1000 == 0) {
                insertStatement.executeBatch();     // execute sql
                insertStatement.clearBatch();   // clean batch
            }

        }

        connection.commit();
        long end = System.currentTimeMillis();
        System.out.println("cost time：" + (end - start));
    } catch (SQLException e) {
        e.printStackTrace();
        System.out.println("executeUpdated fail!");
    }
    connection.close();
} catch (SQLException e) {
    e.printStackTrace();
}

执行结果如下：

说明：从执行结果可知，方式一批量处理时，耗时：1900

如有帮助请给个👍支持下哦！谢谢！

获取完整代码方式如下：

方式一：

关注公众号：东周沉静的青蒿，查看主页即可！

关注公众号：东周沉静的青蒿，查看主页即可！

关注公众号：东周沉静的青蒿，查看主页即可！

方式二：

如需完整代码请在评论区留言或从下述链接直接获取！

如需完整代码请在评论区留言或从下述链接直接获取！

如需完整代码请在评论区留言或从下述链接直接获取！

方式三：

上述各场景完整代码见：https://download.csdn.net/download/weixin_47156401/88741460

【MyBatis 6，springcloud从入门到精通教程
m0_61439678的博客
09-06 359
（1）ResultSet getResultSet() 以 ResultSet 对象的形式获取当前结果 （2）int getUpdateCount() 以更新计数的形式获取当前结果；如果结果为 ResultSet 对象或没有更多结果，则返回 -1 （3）boolean getMoreResults() 移动到此 Statement 对象的下一个结果，如果其为 ResultSet 对象，则返回 true，并隐式关闭利用方法 getResultSet 获取的所有当前 ResultSet 对象 （4）boolea
Java项目防止SQL注入的方式总结
睡竹的博客
03-02 1万+
Java项目防止SQL注入的方式总结 springboot配置请求过滤器防止SQL注入 nginx防止SQL注入 mybatis防止SQL注入
PreparedStatement详细用法
11-22
PreparedStatement详细用法
JDBC PrepareStatement实战指南与场景demo
最新发布
weixin_42611177的博客
08-15 810
htmltable {th, td {th {pre {简介：JDBC是Java与数据库交互的标准接口，而PrepareStatement是其中一种预编译SQL语句，用于提升数据库操作的效率与安全性。本文详细介绍了使用PrepareStatement进行MySQL操作的方法，包括基本查询、更新、批量处理等场景，并通过实际代码演示了这些场景的应用。掌握这些知识对于Java数据库开发具有重要意义。
JDBC基础教程之PreparedStatement
盗也有道>>>>
11-12 3084
概述该 PreparedStatement 接口继承 Statement，并与之在两方面有所不同：PreparedStatement 实例包含已编译的 SQL 语句。这就是使语句“准备好”。包含于 PreparedStatement 对象中的 SQL 语句可具有一个或多个 IN 参数。IN参数的值在 SQL 语句创建时未被指定。相反的，该语句为每个 IN 参数保留一个问号（“？”）作为占位符。每个
PreparedStatement的用法(转)
赵先颖的专栏
11-08 1279
jdbc(java database connectivity，java数据库连接)的api中的主要的四个类之一的java.sql.statement要求开发者付出大量的时间和精力。在使用statement获取jdbc访问时所具有的一个共通的问题是输入适当格式的日期和时间戳：2002-02-05 20:56 或者 02/05/02 8:56 pm。 通过使用java.sql.preparedst...
JDBC PrepareStatement 使用（附各种场景 demo）
01-14
本资源主要涵盖了使用JDBC PrepareStatement进行MySQL数据库操作的各种场景，包括基本的查询、更新以及批量处理。 首先，我们来看一下JDBC连接MySQL的步骤。在Java程序中，我们需要导入相应的JDBC驱动，例如`...
JDBC PrepareStatement 实战演示与代码示例
资源摘要信息:"JDBC PrepareStatement 使用（附各种场景 demo）" 知识点详细解析： 1. JDBC 连接 MySQL 的基础概念与操作 JDBC（Java Database Connectivity）是Java语言编写的用于与数据库进行交互的API。它为...
JDBC的简单demo
08-14
最后，要注意的是，虽然这个简单的JDBC demo展示了基础的数据库操作，但在实际项目中，通常会使用ORM框架（如Hibernate、MyBatis）来简化数据库操作，提高开发效率和代码可维护性。同时，为了更好地管理和优化数据库...
shardingjdbc 入门demo(jdbc+mybatis+springboot)
weixin_43328357的博客
10-30 935
shardingjdbc 入门demo（jdbc+mybatis+springboot，同库分表） 一.使用场景 本人有两张用户表，想根据id的奇偶进行分表 test_user_1 、test_user_2 二.代码示例 框架使用的是mybatis+plus 全局pom <parent> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-sta
JDBC 连接 SQL Server Demo【含代码示例】
一个做过前端开发的产品经理，经历过睿智产品的折磨导致脱发之后，励志要翻身"农奴"把歌唱，一边打入敌人内部一边持续提升自己，为我们广大开发同胞谋福祉，坚决抵制睿智产品折磨我们码农兄弟！
06-30 1639
通过上述示例，我们不仅了解了如何使用 JDBC 连接 SQL Server 数据库，还掌握了如何执行基本的 CRUD 操作。这些技能对于任何 Java 开发者而言都是必不可少的，无论是在构建 Web 应用、桌面应用还是移动应用时。希望本文能够帮助你更好地理解和应用 JDBC 技术，提升你的数据库操作能力。欢迎来到我的博客，很高兴能够在这里和您见面！希望您在这里可以感受到一份轻松愉快的氛围，不仅可以获得有趣的内容和知识，也可以畅所欲言、分享您的想法和见解。DTcode7的博客首页。
JDBC(用PrepareStatement实现)
01-15
用JDBC实现Java与数据库的连接，该文件使用PrepareStatement实现。
Statement和PreparedStatement的区别
liuhuan1534的专栏
05-08 574
1.PreparedStatement是预编译的,对于批量处理可以大大提高效率. 也叫JDBC存储过程2.使用 Statement 对象。在对数据库只执行一次性存取的时侯，用 Statement 对象进行处理。PreparedStatement 对象的开销比Statement大，对于一次性操作并不会带来额外的好处。3.statement每次执行sql语句，相关数据库都要执行sql语句的编译，pre...
PreparedStatement的使用
热门推荐
mofeigege的博客
11-03 1万+
PreparedStatement介绍 可以通过调用 Connection 对象的 prepareStatement(String sql) 方法获取 PreparedStatement 对象 PreparedStatement 接口是 Statement 的子接口，它表示一条预编译过的 SQL 语句 PreparedStatement 对象所代表的 SQL 语句中的参数用问号(?)来表示(？在SQL中表示占位符)，调用 PreparedStatement 对象的 setXxx() 方法来设置这些参数.
JDBC PreparedStatement的使用
qq_57389269的博客
08-03 786
PreparedStatement： 可以通过调用 Connection 对象的 preparedStatement(String sql) 方法获取PreparedStatement 对象。 PreparedStatement 接口是 Statement 的子接口，它表示一条预编译过的 SQL 语句 PreparedStatement 对象所代表的 SQL 语句中的参数用问号(?)来表示，调用PreparedStatement 对象的 setxxx() 方法来设置这些参数.。se
prepareStatement的使用
weixin_44720982的博客
05-06 4747
使用prepareStatement完成数据库增删改查功能
JDBC入门（3）--- PrepareStatement
weixin_30666401的博客
10-06 267
一、PrepareStatement概述 　　PrepareStatement是Statement接口的子接口； 1、强大之处： 防SQL攻击； 提高代码的可读性； 提高效率; 2、PrepareStatement的用法： 如何得到PrepareStatement对象 给出SQL模板。 调用Connection的PreparedStatem...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

数据库内核

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值