(1)PreparedStatement:是Statement 的子接口,可以传入带占位符的 SQL 语句。并且提供了补充占位符变量的方法。
(2)使用PreparedStatement
①创建PreparedStatement:
String sql = “INSERT INTO examstudent VALUES(?,?,?,?)”
PreparedStatement ps = conn.prepareStatement(sql);
②调动 PreparedStatement 的setXxx(int index, Object val) 设置占位符的值从1开始
③执行SQL语句: executeQuery() 或 executeUpdate()
注意:执行时不再需要传入SQL语句。
preparedStatement = connection.prepareStatement(sql);
(3)可以有效的禁止SQL注入
1.SQL 注入是利用某些系统没有对用户输入的数据进行充分的检查,而在用户输入数据中注入非法的 SQL 语句段或命令,从而利用系统的 SQL 引擎完成恶意行为的做法
2.对于java而言,要防范 SQL 注入。只要用PreparedStatement 取代 Statement 就可以了。
3.SQL注入代码:
String username = "a' OR PASSWORD = ";
String password = " OR '1'='1";
String sql = "SELECT * FROM users WHERE username = '" + username
+ "' AND " + "password = '" + password + "'";
System.out.println(sql);
(4)PreparedStatement能最大可能提高性能