全部博文（695）
分类： 数据库开发技术
2016-07-13 18:03:03
PreparedStatement和Statemnt的区别
从区别来说有三点：
1、可读性
2、安全性
3、性能
可读性就不说了，安全性主要是说参数化绑定，Statement 由于可能需要采取字符串与变量的拼接，很容易进行 SQL 注入攻击，而 PreparedStatement 由于是预 编译，再填充参数的，不存在 SQL 注入问题。
之所以PreparedStatement能防止注入，是因为它把单引号转义了，变成了\'，这样一来，就无法截断SQL语句，进而无法拼接SQL语句，基本上没有办法注入了。
所以，如果不用PreparedStatement，又想防止注入，最简单粗暴的办法就是过滤单引号，过滤之后，单纯从SQL的角度，无法进行任何注入。
其实，刚刚我们提到的是String参数类型的注入，大多数注入，还是发生在数值类型上，幸运的是PreparedStatement为我们提供了
st.setInt(1, 999);这种数值参数赋值API，基本就避免了注入，因为如果用户输入的不是数值类型，类型转换的时候就报错了。
这段代码属于JDBC常识了，就是简单的根据参数查询，看不出什么端倪，但假如有人使坏，想注入一下呢？
简单的在参数后边加一个单引号，就可以快速判断是否可以进行SQL注入，这个百试百灵，如果有漏洞的话，一般会报错。
接下来谈谈性能，在说性能前首先要明白“数据库预编译”
可以先参考下SQL语句的执行过程：
http://blog.itpub.net/28713356/viewspace-1220826/
数据库预编译，我们都知道数据库在处理SQL语句时都有一个预编译的过程，而预编译对象就是把一些格式固定的SQL编译后，存放在内存池 中即数据库缓冲池，当我们再次执行相同的SQL语句时就不需要预编译的过程了,只要将参数直接传入编译过的语句执行代码中(相当于一个涵数)就会得到执行.这并不是说只有一个Connection中多次执行的预编译语句被缓存,而是对于整个DB中,只要预编译的语句语法和缓存中匹配.那么在任何时候就可以不需要再次编译而可以直接执行.而statement的语句中,即使是相同一操作,而由于每次操作的数据不同所以使整个语句相匹配的机会极小,几乎不太可能匹配.比如:
insert into tb_name (col1,col2) values ('11','22');
insert into tb_name (col1,col2) values ('11','23');
即使是相同操作但因为数据内容不一样,所以整个个语句本身不能匹配,没有缓存语句的意义.事实是没有数据库会对普通语句编译后的执行代码缓存.这样每执行一次都要对传入的语句编译一次. 当然并不是所以预编译语句都一定会被缓存,数据库本身会用一种策略,比如使用频度等因素来决定什么时候不再缓存已有的预编译结果.以保存有更多的空间存储新的预编译语句. 所以当你需要执行Statement对象多次 的时候，PreparedStatement对象将会大大降低运行时间，特别是的大型的数据库中，它可以有效的也加快了访问数据库的速度。预编译是利用数据库的SQL共享来实现的，因为当使用preparedStatement 的时候，尽管参数不同，但是在语句中用？来替代变量名。 因此很多语句就完全相同。（这个道理和J2EE的server缓存preparedStatement 的道理应该是一样的）
Oracle 优化
共享SQL语句
为了不重复解析相同的SQL语句，在第一次解析之后， ORACLE将SQL语句存放在内存中。这块位于系统全局区域SGA(system global area)的共享池(shared buffer pool)中的内存可以被所有的数据库用户共享。 因此，当你执行一个SQL语句(有时被称为一个游标)时，如果它和之前的执行过的语句完全相同， ORACLE就能很快获得已经被解析的语句以及最好的执行路径。 ORACLE的这个功能大大地提高了SQL的执行性能并节省了内存的使用。
参考：
http://blog.csdn.net/theorytree/article/details/7331096
http://blog.itpub.net/28713356/viewspace-1220826/
http://www.cnblogs.com/yezhenhan/archive/2011/04/21/2023195.html
http://www.cnblogs.com/iyangyuan/archive/2015/09/15/4809494.html
