PreparedStatement的优势

 

一：防止SQL注入原理

SQL注入只对SQL语句的准备(编译)过程有破坏作用,而PreparedStatement已经准备(编译)好了,执行阶段只是把输入串作为参数数据处理,不再需要对SQL语句进行解析,准备,因此也就避免了SQL注入问题。

 

 

 

二：PreparedStatement比 Statement 更快

public interface PreparedStatement extends Statement

PreparedStatement继承至Statement 所以可以实现所有Statement功能。

使用 PreparedStatement 最重要的一点好处是它拥有更佳的性能优势，SQL语句会预编译在数据库系统中。执行计划同样会被缓存起来，它允许数据库做参数化查询。使用预处理语句比普通的查询更快，因为它做的工作更少（数据库对SQL语句的分析，编译，优化已经在第一次查询前完成了）。为了减少数据库的负载，生产环境中JDBC代码你应该总是使用PreparedStatement 。值得注意的一点是：为了获得性能上的优势，应该使用参数化sql查询而不是字符串追加的方式。