JDBC 核心API
Statement
Statement执行查询
创建Statement的方式：
Connection.createStatement();执行INSERT，UPDATE和DELETE：
Statement.executeUpdate()-
执行SELECT：
Statement.executeQuery()String sql = "select empno,ename,sal,hiredate from emp"; Statement stmt = con.createStatement(); ResultSet rs = stmt.executeQuery(sql); //对rs的处理 stmt.close();
executeQuery（）方法将返回SQL语句执行后的结果集
Statemeent执行插入
String sql = "insert into emp(empno,ename,jop,sal) values(1001,'张三丰',‘Manager’ 9500)";
int flag = -1;
try{
conn = ConnectionSource.getConnection();
stmt = con.createStatement();
flag = stmt.executeUpdate(sql);
//处理结果
}catch(){
//处理异常
}
executeUpdate() 方法将返回SQL语句执行后影响的记录数
Statement执行更改
和INSERT操作完全相同，只是SQL语句不同
String sql = "update emp set sal = 9900 where empno = 1001";
int flag = -1;
try{
con = ConnectionSource.getConnection();
stmt = con.createStatement();
flag = stmt.executeUpdate(sql);
//处理结果
}catch(){
//处理异常
}
PreparedStatement
PreparedStatement原理
- Statement主要用于执行静态SQL语句,即内容固定不变的SQL语句
- Statement每执行一次都要对传入的SQL语句编译一次,效率较差
- 某些情况下,SQL语句只是其中的参数有所不同,其余字句完全相同,适用于PreparedStatement
- 预防sql注入攻击
- PreparedStatement是接口,继承自Statement
- SQL语句提前编译，三种常用方法execute、executeQuery和executeUpdate已被更改,不再需要参数
- PreparedStatement实例包含已事先编译的SQL语句
- SQL语句可有一个或多个IN参数
IN参数的值在SQL语句创建时未被指定。该语句为每个IN参数保留一个问号（“？”）作为占位符
每个问号的值必须在该语句执行之前，通过适当的setInt或者setString 方法提供。 - 由于PreparedStatement对象已编译过，所以其执行速度快于Statement对象。因此，多次执行的SQL语句经常创建为PreparedStatement对象,以提高效率。
- 批量处理
PreparedStatement pstmt = con.prepareStatement("UPDATE emp SET job=? WHERE empno=?");
SQL语句已发送给数据库,并编译号为执行作号准备
pstmt.setString(1,"Manager");
pstmt.setInt(2,1001);
对占位符进行初始化
pstmt.executeUpdate();
执行SQL语句
通过PS提升性能
- 数据库具备缓存功能，可以对statement的执行计划进行缓存，以避免重复分析
- 缓存原理：
- 使用statemenet本身作为key并将执行计划存入与statement对应的缓存中
- 对曾经执行过的statements，再运行时执行计划将重用
-
举例：
- SELECT a,b FROM t WHERE c = 1;
- 再次发送相同的statemenet时，数据库会对先前使用过的执行计划进行重用，降低开销
-
悲剧：
- SELECT a,b FROM t WHERE c = 1;
- SELECT a,b FROM t WHERE c = 2;
被视作不同的SQL语句,执行计划不可重用
String sql = "select a,b from t where c = ?";
PrearedStatemenet ps = conn.prepareStatement(sql);
for(){
ps.setInt(1,i);
ResultSet rs = ps.executeQuery();
rs.close();
ps.close();
}
SQL Injection简介
场景：
String sql = "select * from t where username = '"+name+"'+and password='"+password+"';输入参数后，数据库接受到完整sql语句将是：
select * from t where username = 'scott' and password = 'tiger';-
如果用户输入的passwd参数是:a 'or' 'b' ='b,则数据库收到的SQL语句将是：
select * from t where username = 'scott' and password = 'a' or 'b' = 'b';
此SQL语句的where条件将永远为true 此现象被称作SQL注入
通过PS防止SQL Injection
- 对JDBC而言,SQL注入攻击只对Statement有效，对PreparedStatement无效，因为Prepare
