Statement、PreparedStatement和CallableStatement有什么区别？

最新推荐文章于 2025-06-30 18:15:59 发布

原创最新推荐文章于 2025-06-30 18:15:59 发布 · 1.1k 阅读

CC 4.0 BY-SA版权

文章标签：

55 篇文章

订阅专栏

本文详细比较了Statement、PreparedStatement和CallableStatement三种执行SQL语句的方式。重点介绍了PreparedStatement的高效性、代码可读性及安全性优势，特别是其预防SQL注入攻击的能力。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Statement：
用于执行不带参数的简单SQL语句，返回生成结果的对象，每次执行SQL语句时，数据库都要编译该语句。

PreparedStatement：
表示预编译的SQL语句的对象，用于执行带参数的预编译SQL语句。

CallableStatement：
提供了用来调用数据库中存储过程的接口，如果有输出参数要注册，说明是输出参数。

Statement stmt = conn.getStatement();
stmt.executeUpdate("insert into tabel_name(col1,col2) values('" + var1 + "','" + var2 + "')");

使用PreparedStatement：

PreparedStatement prestmt = conn.preparedStatement("insert into tabel_name(col1,col2) values(?,?)");

安全性更好：
使用PreparedStatement能预防SQL注入（即通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器，达到执行恶意SQL命令的目的）攻击，注入只对SQL语句的编译过程有破坏作用，而执行阶段只是把输入串作为数据处理，不再需要对SQL语句进行解析。