statement和prepareStatement 的区别

2年前 (2022) 程序员胖胖胖虎阿

274 0 0

🍅 作者简介：CSDN2021博客之星亚军🏆、新星计划导师✌、博客专家💪

🍅 哪吒多年工作总结：Java学习路线总结，搬砖工逆袭Java架构师

🍅 关注公众号【哪吒编程】，回复1024，获取Java学习路线思维导图、大厂面试真题、加入万粉计划交流群、一起学习进步

一、简介

二、statement的四种形式

1、executeQuery

2、executeUpdate

3、execute

4、Batch

三、PreparedStatement常用方法

1、boolean execute()

2、int executeUpdate()

3、void addBatch()

4、void clearParameters()

5、ResultSetMetaData getMetaData()

6、ParameterMetaData getParameterMetaData()

四、PreparedStatement代码实例

五、使用PreparedStatement能够预防SQL注入攻击

六、CallableStatement

七、xml中的statementType

一、简介

它们都是接口：

Statement继承自Wrapper
PreparedStatement继承自Statement
CallableStatement继承自PreparedStatement

Statement：直接操作sql，不进行预编译，不带参数；

PreparedStatement：进行预编译，可带参数；

CallableStatement：执行存储过程；

SQL的执行需要编译和解析。

Statement每次的执行都需要编译SQL。

PreparedStatement会预编译，会被缓冲，在缓存区中可以发现预编译的命令，虽然会被再次解析，但不会被再次编译，能够有效提高系统性能。

二、statement的四种形式

executeQuery
executeUpdate
execute
Batch

1、executeQuery

用于产生单个结果集的语句，用于执行 SELECT 语句（SELECT无疑是是使用最多的 SQL 语句），返回值为ResultSet。

2、executeUpdate

用于执行 INSERT、UPDATE 或 DELETE 语句以及 SQL DDL（数据定义语言）语句，例如 CREATE TABLE 和 DROP TABLE。

executeUpdate 的返回值是一个整数，指示受影响的行数（即更新计数）。对于 CREATE TABLE 或 DROP TABLE 等不操作行的语句，executeUpdate 的返回值总为零。

3、execute

用于执行返回多个结果集、多个更新计数或二者组合的语句。execute对与结果的处理比较麻烦

execute方法应该仅在语句能返回多个ResultSet对象、多个更新计数或ResultSet对象与更新计数的组合时使用。

返回值指示类型情况：如果下一个结果为 ResultSet 对象，则返回 true；如果其为更新计数或者不存在更多结果，则返回 false。

Statement stmt = conn.createStatement();
if(stmt.execute(sql)){
    ResultSet rs = stmt.getResultSet();
}else{
    log.info("受影响的行 {}", stmt.getUpdateCount());
}

（1）ResultSet getResultSet()

以 ResultSet 对象的形式获取当前结果

（2）int getUpdateCount()

以更新计数的形式获取当前结果；如果结果为 ResultSet 对象或没有更多结果，则返回 -1

（3）boolean getMoreResults()

移动到此 Statement 对象的下一个结果，如果其为 ResultSet 对象，则返回 true，并隐式关闭利用方法 getResultSet 获取的所有当前 ResultSet 对象

（4）boolean getMoreResults(int current)

将此 Statement 对象移动到下一个结果，根据给定标志指定的指令处理所有当前 ResultSet 对象；如果下一个结果为 ResultSet 对象，则返回 true

（5）default long getLargeUpdateCount()

4、Batch

（1）void addBatch(String sql)

将给定的 SQL 命令添加到此 Statement 对象的当前命令列表中

（2）void clearBatch()

清空此 Statement 对象的当前 SQL 命令列表

（3）int[] executeBatch()

将一批命令提交给数据库来执行，如果全部命令执行成功，则返回更新计数组成的数组

对于batch操作，简单说就是有一个列表，保存了执行命令。

add是添加方法，clear就是清空方法，execute就是执行列表内命令。

如下面示例，将1000个“张三”分十次插入数据库：

for(int i=0;i<1000;i++){
    String sql = "insert into user(id,name,age) values (i,'张三"+i+"',18)";
    stmt.addBatch(sql);
    if(i%100 == 0){
        stmt.executeBatch();
        stmt.clearBatch();
    }
}

三、PreparedStatement常用方法

1、boolean execute()

在此 PreparedStatement 对象中执行 SQL 语句，该语句可以是任何种类的 SQL 语句。

ResultSet executeQuery()

在此 PreparedStatement 对象中执行 SQL 查询，并返回该查询生成的 ResultSet 对象。

2、int executeUpdate()

在此 PreparedStatement 对象中执行 SQL 语句，该语句必须是一个 SQL 数据操作语言（Data Manipulation Language，DML）语句，比如 INSERT、UPDATE 或 DELETE 语句；或者是无返回内容的 SQL 语句，比如 DDL 语句。

3、void addBatch()

将一组参数添加到此 PreparedStatement 对象的批处理命令中。

4、void clearParameters()

立即清除当前参数值。

5、ResultSetMetaData getMetaData()

获取包含有关 ResultSet 对象列信息的 ResultSetMetaData 对象，ResultSet 对象将在执行此 PreparedStatement 对象时返回

6、ParameterMetaData getParameterMetaData()

获取此 PreparedStatement 对象的参数的编号、类型和属性。

四、PreparedStatement代码实例

String sql = "insert into user(id,name,age) values (?,?,?)";
PreparedStatement ps = conn.prepareStatement(sql, Statement.NO_GENERATED_KEYS);
ps.setInt(1,1);
ps.setString(2,"哪吒");
ps.setInt(3,18);
ps.executeUpdate();