2次面试2次被问到这个问题,都不太会,学习记录一下
1.prepareStatement一次预编译,可以多次执行
prepareStatement在执行sql的时候会进行预编译,将将预编译的结果放入缓存,当下一次执行相同类型的sql的时候,直接将参数参数传进缓存旧可以得到执行,不需要编译。
statement每次执行sql的时候都会进行编译。在进行批量处理的时候,效率没有上边的高
2.prepareStatement可读性高
3.安全性
恶意sql语法
但从传进来的参数来看,statement的参数存在着与sql语句的匹配,如果传进来的参数恶意的想要和sql语句进行拼接,例如加一个“drop table”或者“or 1=1”之类的,数据库就会被异常执行,破坏系统。
但是prepareStatement就不会与sql语句产生匹配,安全性相对较高!