-
MySQL教程之Web-数据库-mysql篇(2)
3 防止SQL攻击
l 过滤用户输入的数据中是否包含非法字符；
l 分步校验！先使用用户名来查询用户，如果查找到了，再比较密码；
l 使用PreparedStatement。
4 PreparedStatement是什么？
PreparedStatement叫预编译声明！
PreparedStatement是Statement的子接口，你可以使用PreparedStatement来替换Statement。
PreparedStatement的好处：
l 防止SQL攻击；
l 提高代码的可读性，以可维护性；
l 提高效率。
5 PreparedStatement的使用
l 使用Connection的prepareStatement(String sql)：即创建它时就让它与一条SQL模板绑定；
l 调用PreparedStatement的setXXX()系列方法为问号设置值
l 调用executeUpdate()或executeQuery()方法，但要注意，调用没有参数的方法；
|
String sql = “select * from tab_student where s_number=?”; PreparedStatement pstmt = con.prepareStatement(sql); pstmt.setString(1, “S_1001”); ResultSet rs = pstmt.executeQuery(); rs.close(); pstmt.clearParameters(); pstmt.setString(1, “S_1002”); rs = pstmt.executeQuery(); |
在使用Connection创建PreparedStatement对象时需要给出一个SQL模板，所谓SQL模板就是有“?”的SQL语句，其中“?”就是参数。
在得到PreparedStatement对象后，调用它的setXXX()方法为“?”赋值，这样就可以得到把模板变成一条完整的SQL语句，然后再调用PreparedStatement对象的executeQuery()方法获取ResultSet对象。
注意PreparedStatement对象独有的executeQuery()方法是没有参数的，而Statement的executeQuery()是需要参数（SQL语句）的。因为在创建PreparedStatement对象时已经让它与一条SQL模板绑定在一起了，所以在调用它的executeQuery()和executeUpdate()方法时就不再需要参数了。
PreparedStatement最大的好处就是在于重复使用同一模板，给予其不同的参数来重复的使用它。这才是真正提高效率的原因。
所以，建议大家在今后的开发中，无论什么情况，都去需要PreparedStatement，而不是使用Statement。
