目录

1 : 使用PreparedStatement

2 : PreparedStatement的优点1-参数设置

3 : PreparedStatement的优点2-性能表现

 3.1预编译语句PreparedStatement 

4 : PreparedStatement的优点3-防止SQL注入式攻击

详情看这里JAVA 中级 / JDBC / JDBC系列教材 （五）- 在JDBC中使用预编译STATEMENT 以及它的优点

1 : 使用PreparedStatement

和 Statement一样，PreparedStatement也是用来执行sql语句的。
与创建Statement不同的是，需要根据sql语句创建PreparedStatement
除此之外，还能够通过设置参数，指定相应的值，而不是Statement那样使用字符串拼接

注： 这是JAVA里唯二的基1的地方，另一个是查询语句中的ResultSet也是基1的。

2 : PreparedStatement的优点1-参数设置

Statement 需要进行字符串拼接，可读性和维护性比较差

String sql = "insert into hero values(null,"+"'提莫'"+","+313.0f+","+50+")";

PreparedStatement 使用参数设置，可读性好，不易犯错

String sql = "insert into hero values(null,?,?,?)";

 3 : PreparedStatement的优点2-性能表现

        PreparedStatement有预编译机制，性能比Statement更快

        sql语句拼接的时候使用了占位符？

        所谓SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。

JDBC【4】-- jdbc预编译与拼接sql对比

         预编译需要获取到数据库连接对象connection，但是sql语句拼接的时候使用了占位符？，将含有占位符的sql当参数传进去，获取到PreparedStatement预编译的对象，最后是通过set来绑定参数，然后再去使用execute执行预编译过的代码。这样就避免了sql注入的问题，同时，由于sql已经编译过缓存在数据库中，所以执行起来不用再编译，速度就会比较快。

 3.1预编译语句PreparedStatement 

JDBC中的预编译语句

什么是预编译语句

预编译语句PreparedStatement 是java.sql中的一个接口，它是Statement的子接口。通过Statement对象执行SQL语句时，需要将SQL语句发送给DBMS，由DBMS首先进行编译后再执行。预编译语句和Statement不同，在创建PreparedStatement 对象时就指定了SQL语句，该语句立即发送给DBMS进行编译。当该编译语句被执行时，DBMS直接运行编译后的SQL语句，而不需要像其他SQL语句那样首先将其编译。

什么时候使用预编译语句

一般是在需要反复使用一个SQL语句时才使用预编译语句，预编译语句常常放在一个for或者while循环里面使用，通过反复设置参数从而多次使用该SQL语句；为了防止SQL注入漏洞，在某些数据操作中也使用预编译语句。

Java防止SQL注入

一、SQL注入简介

SQL注入是比较常见的网络攻击方式之一，它不是利用操作系统的BUG来实现攻击，而是针对程序员编程时的疏忽，通过SQL语句，实现无帐号登录，甚至篡改数据库。

1.（简单又有效的方法）PreparedStatement

采用预编译语句集，它内置了处理SQL注入的能力，只要使用它的setXXX方法传值即可。

使用好处：

(1).代码的可读性和可维护性.

(2).PreparedStatement尽最大可能提高性能.

(3).最重要的一点是极大地提高了安全性.

原理：

sql注入只对sql语句的准备(编译)过程有破坏作用

而PreparedStatement已经准备好了,执行阶段只是把输入串作为数据处理,

而不再对sql语句进行解析,准备,因此也就避免了sql注入问题.

java 最新sql注入原因以及预防方案(易理解)

例子：有一个登录框，需要输入用户名和密码，然后我们的密码输入 'or '123' = '123 这样的。我们在查询用户名和密码是否正确的时候，本来执行的sql语句是：select * from user where username = '' and password = ''. 这样的sql语句，现在我们输入密码是如上这样的，然后我们会通过参数进行拼接，拼接后的sql语句就是：

select * from user where username = '' and password = ' ' or '123' = '123 '; 这样的了，那么会有一个or语句，只要这两个有一个是正确的话，就条件成立，因此 123 = 123 是成立的。因此验证就会被跳过。这只是一个简单的列子，

用java PreparedStatement就不用担心sql注入了吗？ 

基本都了解PreparedStatement，PreparedStatement相比Statement基本解决了SQL注入问题，而且效率也有一定提升。

     关于PreparedStatement和Statement其他细节我们不讨论，只关心注入问题。无论读者是老鸟还是菜鸟，都需要问一下自己，PreparedStatement真的百分百防注入吗？

 4 : PreparedStatement的优点3-防止SQL注入式攻击

        假设name是用户提交来的数据

        String name = "'盖伦' OR 1=1";

使用Statement就需要进行字符串拼接
拼接出来的语句是：

select * from hero where name = '盖伦' OR 1=1
因为有OR 1=1，这是恒成立的
那么就会把所有的英雄都查出来，而不只是盖伦
如果Hero表里的数据是海量的，比如几百万条，把这个表里的数据全部查出来
会让数据库负载变高，CPU100%，内存消耗光，响应变得极其缓慢
而PreparedStatement使用的是参数设置，就不会有这个问题

防止SQL注入，我们需要注意以下几个要点：

• 1.永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和 双"-"进行转换等。
• 2.永远不要使用动态拼装sql，可以使用参数化的sql或者直接使用存储过程进行数据查询存取。
• 3.永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。
• 4.不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。
• 5.应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装
• 6.sql注入的检测方法一般采取辅助软件或网站平台来检测，软件一般采用sql注入检测工具jsky，网站平台就有亿思网站安全平台检测工具。MDCSOFT SCAN等。采用MDCSOFT-IPS可以有效的防御SQL注入，XSS攻击等。