PreparedStatement 和Statement用法区别，加和不加转义字符

最新推荐文章于 2025-06-30 18:15:59 发布

后会无期_hlx

最新推荐文章于 2025-06-30 18:15:59 发布

阅读量1.3k

点赞数

CC 4.0 BY-SA版权

本文链接：https://blog.youkuaiyun.com/hlxstc_xly/article/details/39211675

本文通过一个具体的更新操作案例，详细对比了PreparedStatement与Statement在Java中使用的不同之处，特别是在参数处理和SQL注入防护方面的差异。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

PreparedStatement 和Statement用法区别：

String hidden = request.getParameter("action");

if(hidden != null && hidden.trim().equals("post")) {
String userId = request.getParameter("userId") ;
String userName = request.getParameter("userName") ;
String password = request.getParameter("password");
String contactTel = request.getParameter("contactTel") ;
String email = request.getParameter("email");
Connection conn = DB.getConnect();
String sql = "update t_user set user_name = ?, password = ?, contact_tel = ?, email = ? where user_id = ? ";
PreparedStatement preStat = DB.getPreStat(conn, sql);
preStat.setString(1, userName);
preStat.setString(2, password);
preStat.setString(3, contactTel);
preStat.setString(4, email);
preStat.setString(5, userId);
preStat.close();
conn.close();

}

以上是PreparedStatement的用法，如果是Statement的话

String userId = "\"" + request.getParameter("userId") + "\"" ; //需要转义字符，使得变量传递给sql语句的值带有双引号
String userName ="\"" + request.getParameter("userName") + "\"";

String sql = "update t_user set user_name = " + userName + " where user_id = " + userId ;