DriverManager和DataSource区别、PreparedStatement和Statement区别

最新推荐文章于 2024-06-02 10:09:20 发布

pandachen1

最新推荐文章于 2024-06-02 10:09:20 发布

阅读量902

点赞数

分类专栏： Java 文章标签：数据库 mysql sql java

本文链接：https://blog.youkuaiyun.com/ormosia2/article/details/109774718

版权

Java 专栏收录该内容

15 篇文章

订阅专栏

本文探讨了DriverManager和DataSource在获取数据库连接时的区别，DataSource支持连接池并允许连接复用。此外，介绍了Statement、PreparedStatement和CallableStatement三种Statement，重点比较了PreparedStatement与Statement的差异，包括性能提升、防止SQL注入的优势。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

DriverManager和DataSource区别

1、DriverManager类来获取的Connection连接，是无法重复利用的，每次使用完以后释放资源时，通过connection.close()都是关闭物理连接。----->用一次关闭一次

2、DataSource提供连接池的支持。连接池在初始化时将创建一定数量的数据库连接，这些链接是可以重复使用的，每次使用完数据库连接，释放资源调用connection.close()都是将Connection对象回收------->重复使用

三种Statement

Statement：用于执行不带参数的简单SQL语句

PreparedStatement：

用于执行带或者不带参数的SQL语句，SQL语句会预编译在数据库系统，执行速度快于Statement对象

特点：

参数化SQL查询
高性能
SQL预编译
阻止常见SQL注入
占位符不能使用多值

CallableStatement:

用于执行数据库存储过程的调用

PreparedStatement和Statement区别

参考：JDBC 中preparedStatement和Statement区别

PreparedStatement代码可读性和可维护性

使用PreparedStatement代替Statement会使代码多处几行，但这样的代码在可读性和可维护性上比Statement更好

--statement执行更新，可读性较差
statement.executeUpdate("insert into student (id,sn,name,class_id) values('" +var1+ "','" +var2+"','"+var3+ "','" +var4+"')");

--PreparedStatement执行更新
prestatement = connection.prepareStatement("insert into student (id,sn,name,class_id) values(?,?,?,?)");
            prestatement.setString(1,var1);
            prestatement.setString(2,var2);
            prestatement.setString(3,var3);
            prestatement.setString(4,var4);

PreparedStatement可以提高性能

PreparedStatement的SQL语句在被数据库系统编译之后缓存下来，下次调用时只要是相同的预编译语句就不需要编译，只要将参数直接传入编译过的语句中执行。并不是只有一个connection种多次执行的预编译语句被缓存，而是对于整个数据库系统，只要预编译语句语法和缓存中匹配，那么在任何时候都可以不需要再次编译而可以直接执行。而对于Statement的语句，即使是相同的操作，而由于每次操作的数据都不相同所以使整个语句匹配的机会极小。例如：
```
--statement相同操作，数据不同，不会匹配
insert into student(id,sn,name,class_id) values('2','1230','wang','12');
insert into student(id,sn,name,class_id) values('1','1221','li','12');
--preparedstatement执行相同操作时，语法匹配，只需要给占位符传值
insert into student (id,sn,name,class_id) values(?,?,?,?)
```
PreparedStatement提高了安全性

PreparedStatement可以防止恶意的SQL注入
```
--恶意SQL注入示例
String Sql = "select * from student where name = '"+name+"'and passwd ='"+passwd+"'";
--如果传入的passwd变量为 [';drop table student;]会怎么样
--此时，SQL语句就变为
select * from student where name = 'wang' and passwd = '';drop table student;
```
而使用预编译语句，传入的内容不会和原来的语句发生任何匹配关系，因为原来的语句已经被编译。这样就不用费尽心机对传入的内容过滤，且占位符不能有多值，也避免了恶意注入。