oracle學習筆記（七） 預編譯Statement介紹與使用

預編譯Statement優點

• 執行效率高
  由於預編譯語句使用占位符 ”?”，在執行SQL之前語句會被先發送到Oracle伺服器進行語法檢查和編譯等工作，並將SQL語句加入到Oracle的語句緩衝池里，隨後再對SQL語句中的占位符”?”設置定值。
  那麼也就說如果你要執行1000行插入的時候第一次先SQL語句發送給Oracle伺服器處理，接著以後只傳遞值給占位符就可以了。
  因此它不需每次傳遞大量的SQL語句也無需對每條SQL語句做語法檢查和編譯所以比較高效。
• 安全，可防止SQL註入攻擊

//用戶登錄的時候，假設有下麵的語句
select * from  student where username='' and password=''
//寫為字元串為
String sql = "select * from  student where username='"+username+"' and password='+password+"'"
//用戶如果輸入' or 1=1 --
//對應的SQL語句
select * from  student where username='' or 1 =1 -- and password=''
//上面這句SQL等同於下麵
select * from  student 

• Statement執行過長語句，拼接字元串很繁瑣，容易出錯

  使用

  1.創建預編譯語句對象

  通過Connection對象來穿件一個預編譯語句的對象

PrepareStatement ps = conn.prepareStatement("select * from student where num = ? and name = ?")

2.設置占位符的內容

占位符的索引從1開始，使用setXxx方法，數據要跟列的數據對應
Void setXxx((int parameterIndex, Xxx value); Xxx表示相應的數據類型。
設置點位符位置的值，第一個參數是 1，第二個參數是 2，…..

ps.setInt(1,12);
ps.setString(2,"張三");

3.執行

- `boolean  execute()`  
    在此 PreparedStatement 對象中執行 SQL 語句，該語句可以是任何種類的 SQL 語句。
- `ResultSet executeQuery()`  
    在此 PreparedStatement 對象中執行 SQL 查詢，並返回該查詢生成的 ResultSet 對象。
- `int executeUpdate()` 
    在此 `PreparedStatement` 對象中執行 SQL 語句，該語句必須是一個 SQL 數據操作語言（Data Manipulation Language，DML）語句   
    比如 `INSERT`、`UPDATE` 或 `DELETE` 語句； 
    或者是無返回內容的 SQL 語句，比如 `DDL` 語句。   
    返回一個已修改資料庫中的數據數目數

```
ps.executeQuery();
```

Statement與PrepareStatement比較