PreparedStatement笔记

（1）PreparedStatement:是Statement 的子接口，可以传入带占位符的 SQL 语句。并且提供了补充占位符变量的方法。
（2）使用PreparedStatement
①创建PreparedStatement：
String sql = “INSERT INTO examstudent VALUES(?,?,?,?)”
PreparedStatement ps = conn.prepareStatement(sql);

②调动 PreparedStatement 的setXxx(int index, Object val) 设置占位符的值从1开始

③执行SQL语句： executeQuery() 或 executeUpdate()
注意：执行时不再需要传入SQL语句。

preparedStatement = connection.prepareStatement(sql);

(3)可以有效的禁止SQL注入
1.SQL 注入是利用某些系统没有对用户输入的数据进行充分的检查，而在用户输入数据中注入非法的 SQL 语句段或命令，从而利用系统的 SQL 引擎完成恶意行为的做法
2.对于java而言，要防范 SQL 注入。只要用PreparedStatement 取代 Statement 就可以了。
3.SQL注入代码：

String username = "a' OR PASSWORD = ";
		String password = " OR '1'='1";

		String sql = "SELECT * FROM users WHERE username = '" + username
				+ "' AND " + "password = '" + password + "'";

		System.out.println(sql);

（4）PreparedStatement能最大可能提高性能