PreparedStatement优势

PreparedStatement是用来执行SQL查询语句的API之一，Java提供了 Statement、PreparedStatement 和 CallableStatement三种方式来执行查询语句，其中 Statement 用于通用查询， PreparedStatement 用于执行参数化查询，而 CallableStatement则是用于存储过程。同时PreparedStatement还经常会在Java面试被提及，譬如：Statement与PreparedStatement的区别以及如何避免SQL注入式攻击？这篇教程中我们会讨论为什么要用PreparedStatement？使用PreparedStatement有什么样的优势？PreparedStatement又是如何避免SQL注入攻击的？

预处理语句的优势

PreparedStatement提供了诸多好处，企业级应用开发中强烈推荐使用PreparedStatement来做SQL查询，下面列出PreparedStatement的几点优势。

1. PreparedStatement可以写动态参数化的查询
   用PreparedStatement你可以写带参数的sql查询语句，通过使用相同的sql语句和不同的参数值来做查询比创建一个不同的查询语句要好，下面是一个参数化查询：

   1	SELECT interest_rate FROM loan WHERE loan_type=?

   现在你可以使用任何一种loan类型如：”personal loan”,”home loan” 或者”gold loan”来查询，这个例子叫做参数化查询，因为它可以用不同的参数调用它，这里的”?”就是参数的占位符。

2. PreparedStatement比 Statement 更快
   使用 PreparedStatement 最重要的一点好处是它拥有更佳的性能优势，SQL语句会预编译在数据库系统中。执行计划同样会被缓存起来，它允许数据库做参数化查询。使用预处理语句比普通的查询更快，因为它做的工作更少（数据库对SQL语句的分析，编译，优化已经在第一次查询前完成了）。为了减少数据库的负载，生产环境中德JDBC代码你应该总是使用PreparedStatement 。值得注意的一点是：为了获得性能上的优势，应该使用参数化sql查询而不是字符串追加的方式。

3  PreparedStatement 可以防止SQL注入式攻击

问题：预编译在JDBC中完成的？还是数据库中？即便存在preparedStatement中，如果这个preparedStatement 对象不被缓存起来，其后又如何重复使用，多次执行? （一些webserver会缓存preparedStatement）

sql也是一种高级语言，也需要编译成机器语言，这种编译是db的编译器去编译的，statement使用的sql每次都会被编译，而PreparedStatement第一次被编译后会缓存，当第二次执行时不需要编译的过程，直接运行，只是参数不同而已。这就是预编译，问题是这个预编译过程是在jdbc中完成，还是在数据库中完成，个人猜想是在数据库中完成，有待验证，先保存一下