PreparedStatement

关注

转载最新推荐文章于 2026-07-26 10:59:58 发布 651 阅读 AI 写同款· GEO 优化 ›

vfsglobal预约系统登录问题全解析(by quqi99) 本文全面解析VFS Global预约系统登录常见问题，包括IP限制、验证码验证失败及账号自动删除等。提供详细的解决方案，如DNS配置、浏览器设置及邮箱选择建议，帮助用户顺利完成签证预约。特别针对中国用户遇到的IP限制问题，给出了实用技巧。阅读详情

http://blog.sina.com.cn/s/blog_6fd9615d01010e2h.html

简单概述：

PreparedStatement继承自Statement，但比Statement功能强大的多。

优点：

1、PreparedStatement是预编译的，比Statement速度快。

当同时要执行多条相同结构sql语句时使用，这时可以用setObject()，addBatch()和executeBatch()这几个函数。

2、可以防止sql注入。

对JDBC而言，SQL注入攻击只对Statement有效,对PreparedStatement是无效的,这是因为PreparedStatement不允许在插入时改变查询的逻辑结构.

举例分析：

例一：说明PreparedStatement速度快插入两条语句只需编译一次，而Statement则需要编译两次。

package com;

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.SQLException;

public class TestPreparedStatement {
    public static void main(String[] args) {
        Connection con = null;
        PreparedStatement pst = null;
        try {
            Class.forName("com.microsoft.sqlserver.jdbc.SQLServerDriver");

            String url = "jdbc:sqlserver://127.0.0.1:1433;databaseName=userManager";
            con = DriverManager.getConnection(url, "as", "");

            String sql = "insert into myuser (userName,pwd) values (? , ?)";
            pst = con.prepareStatement(sql);

            pst.setString(1, "张三"); //也可以用setObject()
            pst.setString(2, "123");
           pst.addBatch();

           pst.setString(1, "李四");
            pst.setString(2, "456");
            pst.addBatch();

            pst.executeBatch();

        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        } catch (SQLException e) {
            e.printStackTrace();
        } finally {
           try {
               if (pst != null) {
                   pst.close();
                   pst = null;
               }
               if (con != null) {
                   con.close();
                   con = null;
               }
           } catch (SQLException e) {
               e.printStackTrace();
          }
       }
    }
}

例二：说明PreparedStatement可以防止sql注入。

System.out.println("请输入用户名：");
name = input.nextLine();
System.out.println("请输入密码：");
pwd = input.nextLine();

String sql = "select * from myuser where userName = '" + name + "' and pwd = '" + pwd + "'";

Statement st = con.createStatement();
ResultSet rs = st.executeQuery(sql);
if (rs.next()) {
System.out.println("登陆成功！");
} else {
System.out.println("登陆失败！");
}

当输入用户名为任意，密码为：123' or '1' = '1时，则都可以登录成功。

System.out.println("请输入用户名：");
name = input.nextLine();
System.out.println("请输入密码：");
pwd = input.nextLine();

String sql = "select * from myuser where userName = ? and pwd = ? ";
PreparedStatement pst = con.prepareStatement(sql);

pst.setString(1, name);
pst.setString(2, pwd);
ResultSet rs = pst.executeQuery();
System.out.println(sql);
if (rs.next()) {
System.out.println("登陆成功！");
} else {
System.out.println("登陆失败！");
}