Statement vs PreparedStatement

最新推荐文章于 2023-11-29 17:30:03 发布

大墨

最新推荐文章于 2023-11-29 17:30:03 发布

阅读量503

点赞数

分类专栏： Java/J2EE DB/Oracle 文章标签： sql table 数据库

本文链接：https://blog.csdn.net/tiercel2008/article/details/7937462

版权

Java/J2EE 同时被 2 个专栏收录

48 篇文章

订阅专栏

DB/Oracle

14 篇文章

订阅专栏

本文深入探讨了SQL注入的危害及防范措施，重点介绍了使用PreparedStatement替代Statement的优势，通过避免生成多个执行计划，显著提高系统安全性与性能。同时，强调了在认证网页中使用PreparedStatement的重要性，以防止SQL注入攻击。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1. PreparedStatement是预编译的,对于批量处理可以大大提高效率:
Statement为每一条Sql语句生成执行计划，
如果要执行两条sql语句
select colume from table where colume=1;
select colume from table where colume=2;
会生成两个执行计划，一千个查询就生成一千个执行计划！

PreparedStatement用于使用绑定变量重用执行计划
select colume from table where colume=:x;
通过set不同数据只需要生成一次执行计划，可以重用

是否使用绑定变量对系统影响非常大，生成执行计划极为消耗资源

两种实现速度差距可能成百上千倍。

2. 安全性：

传递给PreparedStatement对象的参数可以被强制进行类型转换，使开发人员可以确保在插入或查询数据时与底层的数据库格式匹配。而Statement则不能，从而引发sql注入攻击问题，最经典的sql注入例子如：

从理论上说，认证网页中会有形如：
　　select * from admin where username='XXX' and password='YYY' 的语句，若在正式运行此句之前，没有进行必要的字符过滤，则很容易实施SQL注入。如在用户名文本框内输入：abc’ or 1=1-- 在密码框内输入：123 则SQL语句变成：
　　select * from admin where username='abc’ or 1=1 and password='123’ 不管用户输入任何用户名与密码，此语句永远都能正确执行，用户轻易骗过系统，获取合法身份。