安科网

由数据库对sql的执行说JDBC的Statement和PreparedStatement

伊恩

伊恩

2013-10-09

关注 关注
1.每一种数据库都会尽最大努力对预编译语句提供最大的性能优化.因为预编译语句有可能被重复调用.所以语句在被DB的编译器编译后的执行代码被缓存下来,那么下次调用时只要是相同的预编译语句就不需要编译,只要将参数直接传入编译过的语句执行代码中(相当于一个涵数)就会得到执行.这并不是说只有一个Connection中多次执行的预编译语句被缓存,而是对于整个DB中,只要预编译的语句语法和缓存中匹配.那么在任何时候就可以不需要再次编译而可以直接执行.

2.PreparedStatement在conn.prepareStatement(sql)时就把sql语句传给它，这样它会在数据库端进行预编译（包含占位符），下次execute或者executeQuery时只要是相同的预编译语句就不需要编译,只要将参数直接传入编译过的语句执行代码中(相当于一个涵数)就会得到执行。其实这并不是说只有一个Connection中多次执行的预编译语句被缓存,这是PreparedStatement借助数据库的编译sql语句的原理来实现的优先做法而已。
  Statement在conn.createStatement()时不传sql语句，而是在execute或者executeQuery时传过去死的sql语句。这样使是相同一操作,而由于每次操作的数据不同所以使整个语句相匹配的机会极小,几乎不太可能匹配.
 
3.使用Statement要给它传死的拼接的sql语句，其实这样做是很不安全的，有发生恶意sql语句注入的危险。比如：
  String sql="select * from t_user where name='zhangs' and passwd='zhangs123'"
  而我恶意给你注入一个"or 1=1"，就成了
  String sql="select * from t_user where name='zhangs' and passwd='zhangs123' or 1=1"
  这样，你的密码就失去了功效。
  
  小结，PreparedStatement在使用上的优势是显而易见的，当然，它的开销会比Statement达一些，但我觉得功能第一，任何情况下还是首选PreparedStatement。
   下面是我分别用两个Statement和PreparedStatement写的用来增删改查的操作：
/** 
* Statement是先用Connection得到一个空的执行器,在执行的时候给它传拼好的死的sql 
* @author Administrator 
* 
*/ 
public class StatementCRUDtest { 

  /** 
    * 操作表jdbc_users 
    * @param args 
    */ 
  public static void main(String[] args) { 
    User u=new User(); 
    u.setId(45); 
    u.setName("statement"); 
    u.setPasswd("yf123"); 
    u.setPhone("13821930"); 
    u.setEmail("[email protected]"); 
    //insert(u); 
     
    //delete(2); 
     
    //reset(u); 
     
    System.out.println(getById(45)); 
  } 
  /**增*/ 
  public static void insert(User user){ 
    Connection conn=null; 
    Statement stmt=null; 
    try { 
      Class.forName("oracle.jdbc.driver.OracleDriver"); 
      //conn=DriverManager.getConnection("jdbc:oracle:thin:@localhost:1521:ORCL10","scott","yf123"); 
      conn = DriverManager.getConnection("jdbc:oracle:thin:@127.0.0.1:1521:ORCL10", "SCOTT", "yf123"); 
      stmt=conn.createStatement();//Statement创建时就是一个空的执行器 
      /**在execute或者executeQuery时执行死的sql语句*/ 
      /**这只能是拼好的字符串,而不能动态的传参数,并且在数据库中每次肯定穿的是不同的sql语句，因此每次都要解析编译*/ 
      stmt.execute("insert into jdbc_users values ("+user.getId()+",'"+user.getName()+"','"+user.getPasswd()+"','"+user.getPhone()+"','"+user.getEmail()+"')"); 
    } catch (Exception e) { 
      e.printStackTrace(); 
    }finally{ 
      if(stmt!=null){try{stmt.close();}catch(Exception e){}} 
      if(conn!=null){try{conn.close();}catch(Exception e){}} 
    } 
  } 
    
  /**删*/ 
  public static void delete(Integer id){ 
    Connection conn=null; 
    Statement stmt=null; 
    try { 
      Class.forName("oracle.jdbc.driver.OracleDriver"); 
      //conn=DriverManager.getConnection("jdbc:oracle:thin:@localhost:1521:ORCL10","scott","yf123"); 
      conn = DriverManager.getConnection("jdbc:oracle:thin:@127.0.0.1:1521:ORCL10", "SCOTT", "yf123"); 
      stmt=conn.createStatement();//Statement创建时就是一个空的执行器 
      /**在execute或者executeQuery时执行死的sql语句*/ 
      /**这只能是拼好的字符串,而不能动态的传参数,并且在数据库中每次肯定穿的是不同的sql语句，因此每次都要解析编译*/ 
      stmt.execute("delete from jdbc_users where id="+id); 
      if(stmt!=null){try{stmt.close();}catch(Exception e){}} 
      if(conn!=null){try{conn.close();}catch(Exception e){}} 
    } 
  } 
    
  /**改*/ 
  public static void reset(User user){ 
    Connection conn=null; 
    Statement stmt=null; 
    try { 
      Class.forName("oracle.jdbc.driver.OracleDriver"); 
      //conn=DriverManager.getConnection("jdbc:oracle:thin:@localhost:1521:ORCL10","scott","yf123"); 
      conn = DriverManager.getConnection("jdbc:oracle:thin:@127.0.0.1:1521:ORCL10", "SCOTT", "yf123"); 
      stmt=conn.createStatement();//Statement创建时就是一个空的执行器 
      /**在execute或者executeQuery时执行死的sql语句*/ 
      /**这只能是拼好的字符串,而不能动态的传参数,并且在数据库中每次肯定穿的是不同的sql语句，因此每次都要解析编译*/ 
      String sql="update jdbc_users set name='"+user.getName()+"',passwd='"+user.getPasswd()+"',phone='"+user.getPhone()+"',email='"+user.getEmail()+"' where id="+user.getId(); 
      e.printStackTrace(); 
    }finally{ 
      if(stmt!=null){try{stmt.close();}catch(Exception e){}} 
      if(conn!=null){try{conn.close();}catch(Exception e){}} 
    } 
  } 
    
  /**查*/ 
  public static User getById(Integer id){ 
    Connection conn=null; 
    Statement stmt=null; 
    ResultSet rs=null; 
    User u=null; 
    try { 
      Class.forName("oracle.jdbc.driver.OracleDriver"); 
      //conn=DriverManager.getConnection("jdbc:oracle:thin:@localhost:1521:ORCL10","scott","yf123"); 
      conn = DriverManager.getConnection("jdbc:oracle:thin:@127.0.0.1:1521:ORCL10", "SCOTT", "yf123"); 
      stmt=conn.createStatement();//Statement创建时就是一个空的执行器 
      /**在execute或者executeQuery时执行死的sql语句*/ 
      /**这只能是拼好的字符串,而不能动态的传参数,并且在数据库中每次肯定穿的是不同的sql语句，因此每次都要解析编译*/ 
      String sql="select * from jdbc_users where id="+id; 
        u=new User(); 
        u.setId(rs.getInt("id")); 
        u.setName(rs.getString("name")); 
        u.setPhone(rs.getString("phone")); 
        u.setPasswd(rs.getString("passwd")); 
        u.setEmail(rs.getString("email")); 
      } 
    } catch (Exception e) { 
      e.printStackTrace(); 
    }finally{ 
      if(stmt!=null){try{stmt.close();}catch(Exception e){}} 
      if(conn!=null){try{conn.close();}catch(Exception e){}} 
    } 
    return u; 
  } 
} 
/** 
* PreparedStatement是在创建pstm的时候就给它传一个动态的sql，参数是通过pstm设置的。执行时，只需要空执行一下就可以. 
* @author Administrator 
* 
*/ 
public class PreparedStatementCRUDtest { 

  /** 
    * 操作表jdbc_users 
    * @param args 
    */ 
  public static void main(String[] args) { 
    User u=new User(); 
    u.setId(21); 
    u.setName("statement"); 
    u.setPasswd("yf123"); 
    u.setPhone("13821930"); 
    u.setEmail("[email protected]"); 
    //insert(u); 
     
    //delete(42); 
     
    //reset(u); 
     
    System.out.println(getById(21)); 
  } 
  /**增*/ 
  public static void insert(User user){ 
    Connection conn=null; 
    PreparedStatement pstmt=null; 
    try { 
      Class.forName("oracle.jdbc.driver.OracleDriver"); 
      //conn=DriverManager.getConnection("jdbc:oracle:thin:@localhost:1521:ORCL10","scott","yf123"); 
      conn = DriverManager.getConnection("jdbc:oracle:thin:@127.0.0.1:1521:ORCL10", "SCOTT", "yf123"); 
      String sql="insert into jdbc_users values(?,?,?,?,?)"; 
      pstmt=conn.prepareStatement(sql);//PreparedStatement创建时就传过去一个sql语句,这样就可以预编译 
      /**然后设置sql中好占位符的值,这里是动态的传参数*/ 
      pstmt.setInt(1, user.getId()); 
      pstmt.setString(2, user.getName()); 
      pstmt.setString(3, user.getPasswd()); 
      pstmt.setString(4, user.getPhone()); 
      pstmt.setString(5, user.getEmail()); 
      /**设置好后，就全封装到pstm里了,只要空执行就可以了*/ 
      pstmt.execute(); 
    } catch (Exception e) { 
      e.printStackTrace(); 
    }finally{ 
      if(pstmt!=null){try{pstmt.close();}catch(Exception e){}} 
      if(conn!=null){try{conn.close();}catch(Exception e){}} 
    } 
  } 
    
  /**删*/ 
  public static void delete(Integer id){ 
    Connection conn=null; 
    PreparedStatement pstmt=null; 
    try { 
      Class.forName("oracle.jdbc.driver.OracleDriver"); 
      //conn=DriverManager.getConnection("jdbc:oracle:thin:@localhost:1521:ORCL10","scott","yf123"); 
      conn = DriverManager.getConnection("jdbc:oracle:thin:@127.0.0.1:1521:ORCL10", "SCOTT", "yf123"); 
      String sql="delete from jdbc_users where id=?"; 
      /**PreparedStatement创建时就传过去一个sql语句,这样就可以预编译*/ 
      pstmt=conn.prepareStatement(sql); 
      /**然后设置sql中好占位符的值,这里是动态的传参数*/ 
      pstmt.setInt(1, id); 
      /**设置好后，就全封装到pstm里了,只要空执行就可以了*/ 
      pstmt.execute(); 
    } catch (Exception e) { 
      e.printStackTrace(); 
    }finally{ 
      if(pstmt!=null){try{pstmt.close();}catch(Exception e){}} 
      if(conn!=null){try{conn.close();}catch(Exception e){}} 
    } 
  } 
    
  /**改*/ 
  public static void reset(User u){ 
    Connection conn=null; 
    PreparedStatement pstmt=null; 
    try { 
      Class.forName("oracle.jdbc.driver.OracleDriver"); 
      //conn=DriverManager.getConnection("jdbc:oracle:thin:@localhost:1521:ORCL10","scott","yf123"); 
      conn = DriverManager.getConnection("jdbc:oracle:thin:@127.0.0.1:1521:ORCL10", "SCOTT", "yf123"); 
      String sql="update jdbc_users set name=?,passwd=?,phone=?,email=? where id=?"; 
      /**PreparedStatement创建时就传过去一个sql语句,这样就可以预编译*/ 
      pstmt=conn.prepareStatement(sql); 
      /**然后设置sql中好占位符的值,这里是动态的传参数*/ 
      pstmt.setString(1, u.getName()); 
      pstmt.setString(2, u.getPasswd()); 
      pstmt.setString(3, u.getPhone()); 
      pstmt.setString(4, u.getEmail()); 
      pstmt.setInt(5, u.getId()); 
      /**设置好后，就全封装到pstm里了,只要空执行就可以了*/ 
      pstmt.execute(); 
    } catch (Exception e) { 
      e.printStackTrace(); 
    }finally{ 
      if(pstmt!=null){try{pstmt.close();}catch(Exception e){}} 
      if(conn!=null){try{conn.close();}catch(Exception e){}} 
    } 
  } 
    
  /**查*/ 
  public static User getById(Integer id){ 
    Connection conn=null; 
    PreparedStatement pstmt=null; 
    ResultSet rs=null; 
    User u=null; 
    try { 
      Class.forName("oracle.jdbc.driver.OracleDriver"); 
      //conn=DriverManager.getConnection("jdbc:oracle:thin:@localhost:1521:ORCL10","scott","yf123"); 
      conn = DriverManager.getConnection("jdbc:oracle:thin:@127.0.0.1:1521:ORCL10", "SCOTT", "yf123"); 
      String sql="select * from jdbc_users where id=?"; 
      pstmt=conn.prepareStatement(sql);//Statement创建时就是一个空的执行器 
      /**在execute或者executeQuery时执行死的sql语句*/ 
      /**这只能是拼好的字符串,而不能动态的传参数,并且在数据库中每次肯定穿的是不同的sql语句，因此每次都要解析编译*/ 
      pstmt.setInt(1, id); 
      rs=pstmt.executeQuery(); 
      while(rs.next()){ 
        u=new User(); 
        u.setId(rs.getInt("id")); 
        u.setName(rs.getString("name")); 
        u.setPhone(rs.getString("phone")); 
        u.setPasswd(rs.getString("passwd")); 
        u.setEmail(rs.getString("email")); 
      } 
    } catch (Exception e) { 
      e.printStackTrace(); 
    }finally{ 
      if(pstmt!=null){try{pstmt.close();}catch(Exception e){}} 
      if(conn!=null){try{conn.close();}catch(Exception e){}} 
    } 
    return u; 
  } 
} 
 
 

padding margin sql注入 jdbc

伊恩

伊恩

0 关注 0 粉丝 0 动态

关注 关注

相关推荐

vmware扩展跟分区

进行的操作：在 windows 下运行 CMD , 转到 vmware 的安装目录,可执行vmware-vdiskmanager.exe；在Linux下，直接敲入vmware-vdiskmanager ,可执行该指令扩充使用的指令: vmware-vdis

周公周金桥 2020-09-06

Wyn Enterprise中如何转换数据类型？

在设计报表或者仪表板时，有时候从数据集获取到的数据类型和我们分析所需的类型并不匹配，不是同一种数据类型，可能会造成无法将数据正确分类或者过滤等情况。此处主要是仪表板数据集的数据类型转换。此处要注意，直接通过下拉选择调整类型可能部分情况不会生效。此时，需要使

大象从不倒下 2020-07-31

css基础--盒子模型

1 绝大多数标签都可以看作盒子，可以设置宽高或设置内容；在CSS中，"box model"这一术语是用来设计和布局时使用。　　CSS盒模型本质上是一个盒子，封装周围的HTML元素，它包括：边距，边框，填充，和实际内容。　　盒模型允许我们

AlisaClass 2020-07-19

多张图片懒加载

ul li { height: 900px; margin: 100px auto; text-align: center; }. oDiv.style.display = ‘block‘ : oDiv.style.display = ‘none‘

MaureenChen 2020-04-21

知识图谱如何改变银行业务模式？

知识图谱被构造为附加的虚拟数据层，位于现有数据库之上，并将数据大规模链接在一起。由于知识图谱基于知识和概念，因此要想创建良好的知识图谱，必须让整个组织内不同领域的主题专家都参与进来。试图建立自己的知识图谱的金融机构不必从头开始。由于知识图谱能够以智能的方式

xingguanghai 2020-03-13

web第六天，CSS优先级与盒子模型

　　　　通过设置inherit值，可以改变默认的继承方式。　　　　当设置相同样式时，后写的优先级较高，但不建议出现重复设置样式的情况。　　　　场景 ： 紧急情况下使用。　　　　群组选择器与单一选择器的权重相同，靠后写的优先级高。　　　　3，padding属

teresalxm 2020-02-18

css布局及鼠标悬浮下拉框展现

<span class="span-left"> 信息。。。。。。。。。<span class="span-right"><span>评论|</span><spa

木四小哥 2013-05-14

Scope- ruby中变量的作用范围

当程序从一个class，或者module，或者method进入（退出）时，作用域就会改变，对应的3个关键字为：class module，和 def， 每一个关键字的位置就是作用域的入口。class和module的作用域于method的不同，当定义class

SoShellon 2013-06-01

Nginx 下缓存静态文件（如css js)(转)

如css,js,htm,html,jpg,gif,png,flv,swf，这些文件都不是经常更新。便于缓存以减轻服务器的压力。proxy_cache cache_one;设置缓存共享内存区块，也就是keys_zone名称。proxy_cache_valid

Simagle 2013-05-31

浏览器缓存机制

Cache-Control 是最重要的规则。这个字段用于指定所有缓存机制在整个请求/响应链中必须服从的指令。这些指令指定用于阻止缓存对请求或响应造成不利干扰的行为。这些指令通常覆盖默认缓存算法。缓存指令是单向的，即请求中存在一个指令并不意味着响应中将存在同

羽化大刀Chrome 2013-05-31

css的margin与padding练习

DOCTYPE html><html lang="en"><head> <meta charset="UTF-8"> <title>margin<

waterv 2020-01-08

svn c命令

大数据资料共享。

ganyouxianjava 2012-05-31

inotify+rsync实现linux文件批量更新[转]

Timeout = 300通过该选项可以覆盖客户指定的IP超时时间.通过该选项可以确保rsync服务器不会永远等待一个崩溃的客户端.超时单位为秒钟,0表示没有超时定义,这也是默认值.对于匿名rsync服务器来说,一个理想的数字是600.#transfer

LutosX 2013-07-29

linux_5 个获取 Linux 主机信息的命令

Linux 系统管理员在接手一台新的服务器的时候，如果没有好的交接文档，我们可以得到的主机信息就要靠我们自己了。很多信息是可以直接通过命令从主机上获得的，下面就和大家分享 5 个获取 Linux 主机信息的命令。您可能会注意到，主机名通常也出现在命令提示符

vanturman 2013-06-27

Linux中SWAP交换分区

编辑 /etc/fstab文件，并增加如下第二行代码。如果您喜欢这篇文章。UUID=b45eed4a-b319-43fa-9d03-200c558b5d84 / ext4 defaults 1 1UUID=0ab45aeb-98f7-4f31-863d-7

wutongyuq 2013-04-12

mac系统如何显示和隐藏文件

显示Mac隐藏文件的命令：defaults write com.apple.finder AppleShowAllFiles YES. 隐藏Mac隐藏文件的命令：defaults write com.apple.finder AppleShowAllFil

luoqu 2013-04-10

【内测来袭】PerfDogService 一键搭建您的性能测试平台

PerfDog是一款移动平台的性能测试工具，快速定位分析性能问题，提升APP应用及游戏性能和品质。手机无需ROOT/越狱，手机硬件、游戏及应用APP也无需做任何修改，极简化即插即用，是全网唯一支持iOS/Android/小程序/H5等移动全平台性能测试的工

today0 2020-09-22

最靠谱的http协议无状态解释

3 每次的请求都是独立的，它的执行情况和结果与前面的请求和之后的请求是无直接关系的，它不会受前面的请求应答情况直接影响，也不会直接影响后面的请求应答情况。所以，这个状态，加上前面说的客户端也有cookie，就是指，客户端和服务器在临时会话中产生的数据！

89520292 2020-09-18

(转)[iOS概念]Apple Pay与IAP的区别

在Apple Pay的发布会上,Eddy Cue表示,苹果并没有兴趣建立一个收集用户数据的业务,苹果并不知道你购买了什么,不知道你是从哪里购买的,为了这个商品花了多少钱。所以这也就是苹果和支付宝,微信等最大的不同:Apple Pay并不会将资金存放在App

bigname 2020-08-25

QNET：APP弱网络测试专家

基本思路是在PC上装一个Fiddler网络抓包工具，然后再将Android设备的网络代理到PC上，通过在PC上的Fiddler在设置延时来进行弱网络模拟。

灵均兰草 2020-08-20
伊恩

伊恩

W3CSchool教程
HTML 教程
CSS 教程
Bootstrap 教程
Javascript 教程
jQuery 教程
后端教程
C 教程
Java 教程
PHP 教程
Python 教程
Go 教程
移动开发
Android 教程
Swift 教程
Kotlin 教程
jQuery Mobile 教程
ionic 教程
关于我们
新闻动态
联系方式
招聘英才
安科实验室
帮助与反馈

安科网(Ancii)，中国第一极客网

Copyright © 2013 - 2019 Ancii.com

京ICP备18063983号 京公网安备11010802014868号