说说preparedStatement和Statement的区别

八股文_JavaWeb面试题 0 133

参考回答

PreparedStatement和Statement都是JDBC中用于执行SQL语句的接口，它们有一些重要的区别：

SQL语句类型：
- Statement：用于执行静态的SQL语句，SQL语句每次执行时都需要重新解析和编译。
- PreparedStatement：用于执行预编译的SQL语句，SQL语句在第一次执行时被编译，之后可以重复使用，效率更高。
参数化查询：
- Statement：无法直接支持参数化查询，必须手动拼接SQL语句（容易发生SQL注入风险）。
- PreparedStatement：支持参数化查询，SQL语句中的参数通过占位符?来设置，避免了SQL注入问题。
性能：
- Statement：每次执行时都会重新解析和编译SQL语句，因此性能较差。
- PreparedStatement：SQL语句只需编译一次，并可以多次执行，因此在执行多次相同的SQL语句时，性能优于Statement。
安全性：
- Statement：由于SQL语句直接拼接用户输入，存在SQL注入的风险。
- PreparedStatement：通过参数化查询，避免了SQL注入问题，增强了安全性。
适用场景：
- Statement：适合执行简单的、固定的SQL语句（如单次查询操作）。
- PreparedStatement：适合执行复杂的、需要重复执行的SQL语句（如批量插入、更新等）。

详细讲解与拓展

1. SQL语句类型

Statement是JDBC中用于执行静态SQL语句的接口，每次执行SQL时，数据库都会重新解析和执行SQL。它适用于执行一次性的查询或操作。
PreparedStatement是Statement的子接口，它用于执行预编译的SQL语句。在PreparedStatement中，SQL语句中的部分值被占位符（?）代替，数据库会对SQL进行一次编译，之后再执行时不需要重新编译，提高了性能。

2. 参数化查询

Statement：由于Statement不能进行参数化，必须手动拼接SQL语句。例如：

String username = "user1";
String password = "pass1";
String query = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";
Statement stmt = connection.createStatement();
ResultSet rs = stmt.executeQuery(query);

这种方法容易受到SQL注入攻击。

PreparedStatement：使用占位符?来实现参数化查询，能够防止SQL注入。例如：

String query = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement stmt = connection.prepareStatement(query);
stmt.setString(1, username);
stmt.setString(2, password);
ResultSet rs = stmt.executeQuery();

这里，PreparedStatement将输入的参数与SQL语句分开，确保了安全性。

3. 性能

Statement：每次执行时，数据库都需要重新解析和编译SQL语句，因此当需要执行大量相同的SQL时，性能会较差。
PreparedStatement：SQL语句只需编译一次，之后可以重复使用，在多次执行相同查询时，性能会显著优于Statement。例如，批量插入操作时，PreparedStatement能够避免重新编译SQL语句的开销。

4. 安全性

Statement：由于它不支持参数化查询，直接拼接用户输入的数据，如果没有对用户输入进行适当的转义，会导致SQL注入问题，攻击者可以通过精心构造的SQL语句来操控数据库。
PreparedStatement：通过占位符?将SQL语句和数据分开，数据库会自动处理数据的转义，避免了SQL注入问题。PreparedStatement在执行时，SQL语句的结构不会被修改，减少了注入的风险。

5. 适用场景

Statement：适用于执行单次的、简单的SQL语句，不涉及参数化查询的情况。
PreparedStatement：适用于执行需要参数化的SQL语句，尤其是在执行相同SQL语句多次时，PreparedStatement的性能优势非常明显。

总结

特性	`Statement`	`PreparedStatement`
SQL语句类型	静态SQL，每次执行时都需要重新编译	预编译SQL，只编译一次，可重复执行
参数化查询	不支持参数化，需手动拼接SQL	支持参数化查询，使用占位符`?`
性能	每次执行时都重新编译SQL，性能较差	只编译一次，适合多次执行相同SQL
安全性	容易发生SQL注入	自动防止SQL注入
适用场景	单次查询或固定SQL语句	批量操作、频繁执行相同SQL

总的来说，PreparedStatement比Statement更安全、更高效，适用于需要多次执行相同SQL语句或者需要处理用户输入的场景。Statement适合于简单、一次性的查询操作。