03. JDBC 预编译SQL语句 & 储存过程调用

本文介绍JDBC中的Statement、PreparedStatement及CallableStatement的使用方法,重点讲解PreparedStatement预编译SQL语句和CallableStatement调用数据库存储过程的过程。

在JDBC中,Statement接口用于进行Java程序和数据库之间的数据传输,具体类有3个实现,如下:
Statement用于对数据库进行通用访问,在运行时使用静态SQL语句时使用。 
PreparedStatement当计划要多次使用SQL语句时使用。PreparedStatement接口在运行时接受输入参数。
CallableStatement当想要访问数据库存储过程时使用。CallableStatement接口也可以接受运行时输入参数。


JDBC 预编译SQL语句

PreparedStatement 用于预编译模板SQL语句,这对于多次执行使用同一个模板的SQL语句,在性能和代码灵活性上有显著地提高;
PreparedStatement pstatement = connection.prepareStatement("Update Employees SET age = ? WHERE id = ?");
PreparedStatement 对象使用 ? 作为占位符,即参数标记;
PreparedStatement 使用 setXXX( index,value) 方法将值绑定到参数中,每个参数标记是其顺序位置引用,注意 index 从 1 开始;
PreparedStatement  对象执行SQL语句,同样可以使用 execute(),executeQuery(),executeUpdate() 方法;
示例:
Class.forName("com.mysql.jdbc.Driver");
Connection connection = DriverManager.getConnection("jdbc:mysql//localhost/bookRama","root","123");

PreparedStatement pstmt = conncection.prepareStatement("select id form books where author=? and price>?");
pstmt.setString(1,"assad");
pstmt.setFloat(2,10.0);
ResultSet resultset = pstmt.execute();
.....//处理结果集
pstmt.setString(1,"Alex");
pstmt.setFloat(2,8.0);
resultset = pstmt.execute();
.....//处理结果集
pstmt.close();


JDBC 储存过程调用

CallableStatement 对象用于调用数据库中的储存过程;
CallableStatement 同样使用模板SQL语句的组织形式,对于过程的 IN 参数,只要使用 setXXX() 绑定参数就好;对于 OUT,INOUT 参数,就需要使用一个 registerOutParameter() 方法注册返回参数;

以下示例:
假设数据库中有储存过程 function matchName(firstname varchar2,lastname verchar2);
返回某个表中与 firstname、lastname 都参数匹配的名字记录个数;
Class.forName("com.mysql.jdbc.Driver");
Connection connection = DriverManager.getConnection("jdbc:mysql//localhost/demo","root","123");

CallableStatement statment = connection.prepareCall("{ ? = call matchName(?,?) }");
statement.setString(2,"White");   //绑定IN参数
statement.setString(3,"Lambda");
statement.registerOutParameter(1,Types.INTEGER);   //注册OUT参数类型
statement.execute();

int result = statement.getInt(1);







<think>嗯,用户问的是关于JDBC预编译SQL的问题。我需要先回忆一下JDBC的相关知识。预编译SQL主要是通过PreparedStatement来实现的,和普通的Statement有什么不同呢?首先,预编译可以提高性能,因为SQL语句在数据库中被预先编译,多次执行时不需要重复编译。然后,防止SQL注入攻击,因为参数化处理,用户输入不会被当作SQL的一部分执行。那具体怎么使用呢?应该先创建PreparedStatement对象,使用占位符?来代替参数,然后通过setXXX方法设置参数。比如,执行插入操作,用conn.prepareStatement("INSERTINTO users(name, age) VALUES(?,?)");然后设置参数,执行executeUpdate。 然后要解释为什么预编译能防止SQL注入,比如当用户输入中有引号或者特殊字符时,预编译会将这些作为参数处理,而不是拼接到SQL语句中,避免了恶意代码的执行。 可能用户还关心预编译的优缺点,或者和Statement的区别。需要提到性能优势,安全性,以及可读性等方面。另外,可能需要注意预编译SQL在某些情况下是否可以被数据库重用,比如是否缓存PreparedStatement。然后按照要求,给出代码示例,展示如何正确使用PreparedStatement,包括连接数据库、设置参数、执行查询等步骤。同时,对比不安全的Statement方式,说明两者的区别。最后,相关问题要围绕JDBC预编译展开,比如原理、防止注入的方式、优缺点、与存储过程的比较,以及参数设置方法。这些问题可以帮助用户深入理解预编译的重要性及使用场景。</think>JDBC预编译SQL的实现方式是通过`PreparedStatement`接口完成的,以下是实现步骤和原理: ```java // 1. 创建预编译语句 String sql = "SELECT * FROM users WHERE email = ? AND status = ?"; try (Connection conn = DriverManager.getConnection(url, user, password); PreparedStatement pstmt = conn.prepareStatement(sql)) { // 2. 设置参数(索引从1开始) pstmt.setString(1, "user@example.com"); pstmt.setInt(2, 1); // 3. 执行查询 try (ResultSet rs = pstmt.executeQuery()) { while (rs.next()) { // 处理结果集 } } } ``` **为什么需要预编译SQL:** 1. **防止SQL注入**:参数值通过类型安全的方式绑定,不会被解释为SQL语法 2. **性能优化**:数据库会缓存预编译的查询计划,重复执行时无需重新解析SQL 3. **类型安全**:自动处理数据类型转换(如Date转SQL DATE) 4. **可读性**:使用占位符比字符串拼接更清晰 **典型错误示例(不安全的方式):** ```java // 危险!容易导致SQL注入 String input = "'; DROP TABLE users;--"; String badSql = "SELECT * FROM users WHERE name = '" + input + "'"; Statement stmt = conn.createStatement(); stmt.executeQuery(badSql); ```
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值