Mysql中的Statement、PreparedStatement 和 CallableStatement

首先,官方对于这3个接口的定义是这样的:
在这里插入图片描述
PreparedStatement是用来执行SQL查询语句的API之一，Java提供了 Statement、PreparedStatement 和 CallableStatement三种方式来执行查询语句，其中 Statement 用于通用查询， PreparedStatement 用于执行参数化查询，而 CallableStatement则是用于存储过程。
1.Statement
1.1创建Statement对象
在使用Statement对象执行SQL语句之前，需要使用Connection对象的createStatement()方法创建一个Statement对象，如以下示例所示：

Statement stmt = null;
try {
   stmt = conn.createStatement( );
   . . .
}
catch (SQLException e) {
   . . .
}
finally {
   . . .
}

在创建Statement对象后，可以使用它来执行一个SQL语句，它有三个执行方法可以执行。它们分别是 -
• boolean execute (String SQL) ：如果可以检索到ResultSet对象，则返回一个布尔值true; 否则返回false。使用此方法执行SQLDDL语句或需要使用真正的动态SQL，可使用于执行创建数据库，创建表的SQL语句等等。
• int executeUpdate (String SQL): 返回受SQL语句执行影响的行数。使用此方法执行预期会影响多行的SQL语句，例如:INSERT，UPDATE或DELETE语句。
• ResultSet executeQuery(String SQL)：返回一个ResultSet对象。当您希望获得结果集时，请使用此方法，就像使用SELECT语句一样。
1.2. 关闭Statement对象
就像关闭一个Connection对象一样，以保存数据库资源一样，由于同样的原因，还应该关闭Statement对象。
一个简单的调用close()方法将执行该作业(工作)。如果先关闭Connection对象，它也会关闭Statement对象。但是，应该始终显式关闭Statement对象，以确保正确的清理顺序。

Statement stmt = null;
try {
   stmt = conn.createStatement( );
   . . .
}
catch (SQLException e) {
   . . .
}
finally {
   stmt.close();
}

每次都会执行SQL语句，相关数据库都要执行SQL语句的编译。
Statement为一条Sql语句生成执行计划，

举例:如果要执行两条sql语句

select colume from table where colume=1;
select colume from table where colume=2;

会生成两个执行计划
一千个查询就生成一千个执行计划！
为了更好的理解，建议学习Statment示例教程。
2 PreparedStatement
a. PreparedStatement接口继承Statement， PreparedStatement 实例包含已编译的 SQL 语句，所以其执行速度要快于 Statement 对象;

b.作为 Statement 的子类，PreparedStatement 继承了 Statement 的所有功能。三种方法
execute、 executeQuery 和 executeUpdate 已被更改以使之不再需要参数
PreparedStatement接口扩展了Statement接口，它添加了比Statement对象更好一些优点的功能。
此语句可以动态地提供/接受参数。
2.1 创建PreparedStatement对象

PreparedStatement pstmt = null;
try {
   String SQL = "Update Employees SET age = ? WHERE id = ?";
   pstmt = conn.prepareStatement(SQL);
   . . .
}
catch (SQLException e) {
   . . .
}
finally {
   . . .
}

JDBC中的所有参数都由 ? 符号作为占位符，这被称为参数标记。在执行SQL语句之前，必须为每个参数(占位符)提供值。
setXXX()方法将值绑定到参数，其中XXX表示要绑定到输入参数的值的Java数据类型。如果忘记提供绑定值，则将会抛出一个SQLException。
每个参数标记是它其顺序位置引用。第一个标记表示位置1，下一个位置2等等。该方法与Java数组索引不同(它不从0开始)。
所有Statement对象与数据库交互的方法(a)execute()，(b)executeQuery()和©executeUpdate()也可以用于PreparedStatement对象。但是，这些方法被修改为可以使用输入参数的SQL语句。
2.2. 关闭PreparedStatement对象
就像关闭Statement对象一样，由于同样的原因(节省数据库系统资源)，也应该关闭PreparedStatement对象。
简单的调用close()方法将执行关闭。如果先关闭Connection对象，它也会关闭PreparedStatement对象。但是，应该始终显式关闭PreparedStatement对象，以确保以正确顺序清理资源。

PreparedStatement pstmt = null;
try {
   String SQL = "Update Employees SET age = ? WHERE id = ?";
   pstmt = conn.prepareStatement(SQL);
   . . .
}
catch (SQLException e) {
   . . .
}
finally {
   pstmt.close();
}

2.3 PreparedStatement对象在初级开发中几个常用的方法：
1). PreparedStatement.execute()方法：
该语句可以是任何种类的 SQL 语句
execute 方法返回一个 boolean 值，以指示第一个结果的形式。必须调用 getResultSet 或 getUpdateCount 方法来检索结果，并且必须调用 getMoreResults 移动到任何后面的结果。
返回：
如果第一个结果是 ResultSet 对象，则返回 true；如果第一个结果是更新计数或者没有结果，则返回 false
意思就是如果是查询的话返回true，如果是更新或插入的话就返回false了；
2). PreparedStatement.executeQuery()方法：
返回执行查询语句后得到的ResultSet结果集，注意：该结果集永远不能为null。
3). PreparedStatement.executeUpdate()方法：
返回一个int类型的值，该值代表执行INSERT、DELETE以及UPDATE语句后的更新行数。
如果该值为0，则代表SQL语句没有执行成功。
4).PreparedStatement.addBatch(); executeBatch()方法:
将一组参数添加到此 PreparedStatement 对象的批处理命令中。缓存sql语句,然后批量执行!
将一批命令提交给数据库来执行，如果全部命令执行成功，则返回更新计数组成的数组。
2.4关于PreparedStatement.addBatch()方法

PreparedStatement最重要的addbatch()结构的使用.

1建立链接,(打电话拨号 )    
   Connection    connection =getConnection();
2.不自动 Commit (瓜子不是一个一个吃,全部剥开放桌子上,然后一口舔了)
connection.setAutoCommit(false);   
3.预编译SQL语句,只编译一回哦,效率高啊.(发明一个剥瓜子的方法,以后不要总想怎么剥瓜子好.就这样剥.)
PreparedStatement statement = connection.prepareStatement("INSERT INTO TABLEX VALUES(?, ?)");   
4.来一个剥一个,然后放桌子上
//记录1
statement.setInt(1, 1); 
statement.setString(2, "Cujo"); 
statement.addBatch();   
//记录2
statement.setInt(1, 2); 
statement.setString(2, "Fred"); 
statement.addBatch();   
//记录3
statement.setInt(1, 3); 
statement.setString(2, "Mark"); 
statement.addBatch();   
//批量执行上面3条语句. 一口吞了,很爽
int [] counts = statement.executeBatch();   
//Commit it 咽下去,到肚子(DB)里面
connection.commit();

2.5. PreparedStatement和statement的比较
a.代码的可读性和可维护性.
虽然用PreparedStatement来代替Statement会使代码多出几行,但这样的代码无论从可读性还是可维护性上来说.都比直接用Statement的代码高很多档次:
第一种方法:

stmt.executeUpdate("insert into tb_name (col1,col2,col2,col4) values ('"+var1+"','"+var2+"',"+var3+",'"+var4+"')");//stmt是Statement对象实例

第二种方法:


perstmt = con.prepareStatement("insert into tb_name (col1,col2,col2,col4) values (?,?,?,?)");
perstmt.setString(1,var1);
perstmt.setString(2,var2);
perstmt.setString(3,var3);
perstmt.setString(4,var4);
perstmt.executeUpdate(); //prestmt是 PreparedStatement 对象实例

对于第一种方法.别说其他人去读你的代码,就是你自己过一段时间再去读,都会觉得伤心.
b.PreparedStatement尽最大可能提高性能.
语句在被DB的编译器编译后的执行代码被缓存下来,那么下次调用时只要是相同的预编译语句就不需要编译,只要将参数直接传入编译过的语句执行代码中(相当于一个涵数)就会得到执行.这并不是说只有一个Connection中多次执行的预编译语句被缓存,而是对于整个DB中,只要预编译的语句语法和缓存中匹配.那么在任何时候就可以不需要再次编译而可以直接执行.而statement的语句中,即使是相同一操作,而由于每次操作的数据不同所以使整个语句相匹配的机会极小,几乎不太可能匹配.比如:

insert into tb_name (col1,col2) values ('11','22');
insert into tb_name (col1,col2) values ('11','23');

即使是相同操作但因为数据内容不一样,所以整个个语句本身不能匹配,没有缓存语句的意义.事实是没有数据库会对普通语句编译后的执行代码缓存.

当然并不是所以预编译语句都一定会被缓存,数据库本身会用一种策略,比如使用频度等因素来决定什么时候不再缓存已有的预编译结果.以保存有更多的空间存储新的预编译语句.

c.安全性.

可以有效的防止一些sql注入攻击
如果你是做Java web应用开发的，那么必须熟悉那声名狼藉的SQL注入式攻击。去年Sony就遭受了SQL注入攻击，被盗用了一些Sony play station（PS机）用户的数据。在SQL注入攻击里，恶意用户通过SQL元数据绑定输入，比如：某个网站的登录验证SQL查询代码为：

strSQL = "SELECT * FROM users WHERE name = '" + userName + "' and pw = '"+ passWord +"';"

恶意填入：

userName = "1' OR '1'='1";
passWord = "1' OR '1'='1";

那么最终SQL语句变成了：

strSQL = "SELECT * FROM users WHERE name = '1' OR '1'='1' and pw = '1' OR '1'='1';"

因为WHERE条件恒为真，这就相当于执行：strSQL = "SELECT * FROM users;"
更有甚者:
把[’;drop table tb_name;]作为varpasswd传入进来,则:

select * from tb_name = '随意' and passwd = '';drop table tb_name;

有些数据库是不会让你成功的,但也有很多数据库就可以使这些语句得到执行.

而如果你使用预编译语句.你传入的任何内容就不会和原来的语句发生任何匹配的关系.只要全使用预编译语句,你就用不着对传入的数据做任何过虑.而如果使用普通的statement,有可能要对drop,;等做费尽心机的判断和过虑.
2.6 PreparedStatement的局限性
尽管PreparedStatement非常实用，但是它仍有一定的限制。

为了防止SQL注入攻击，PreparedStatement不允许一个占位符（？）有多个值，在执行有IN子句查询的时候这个问题变得棘手起来。下面这个SQL查询使用PreparedStatement就不会返回任何结果

SELECT * FROM loan WHERE loan_type IN (?)
preparedSatement.setString(1, "'personal loan', 'home loan', 'gold loan'");

为了更好的理解，建议学习PreparedStatement示例代码。

3. CallableStatement对象
CallableStatement继承自PreparedStatement.
类似Connection对象创建Statement和PreparedStatement对象一样，它还可以使用同样的方式创建CallableStatement对象，该对象将用于执行对数据库存储过程的调用。
3.1. 创建CallableStatement对象
假设需要执行以下Oracle存储过程 -

CREATE OR REPLACE PROCEDURE getEmpName 
   (EMP_ID IN NUMBER, EMP_FIRST OUT VARCHAR) AS
BEGIN
   SELECT first INTO EMP_FIRST
   FROM Employees
   WHERE ID = EMP_ID;
END;

注意：上面的存储过程是针对Oracle编写的，但是如果您使用MySQL数据库，可使用以下方式来编写MySQL相同的存储过程，如下在EMP数据库中创建它 -

DELIMITER $$

DROP PROCEDURE IF EXISTS `EMP`.`getEmpName` $$
CREATE PROCEDURE `EMP`.`getEmpName` 
   (IN EMP_ID INT, OUT EMP_FIRST VARCHAR(255))
BEGIN
   SELECT first INTO EMP_FIRST
   FROM Employees
   WHERE ID = EMP_ID;
END $$

DELIMITER ;

存在三种类型的参数：IN，OUT和INOUT。 PreparedStatement对象只使用IN参数。CallableStatement对象可以使用上面三个参数类型。
以下是上面三种类型参数的定义 -
在这里插入图片描述
3.2关闭CallableStatement对象
就像关闭其他Statement对象一样，由于同样的原因(节省数据库系统资源)，还应该关闭CallableStatement对象。
简单的调用close()方法将执行关闭CallableStatement对象。如果先关闭Connection对象，它也会关闭CallableStatement对象。但是，应该始终显式关闭CallableStatement对象，以确保按正确顺序的清理资源。

CallableStatement cstmt = null;
try {
   String SQL = "{call getEmpName (?, ?)}";
   cstmt = conn.prepareCall (SQL);
   . . .
}
catch (SQLException e) {
   . . .
}
finally {
   cstmt.close();
}

为了更好的理解，建议参考学习Callable示例代码。

参考文档:
https://www.yiibai.com/jdbc/jdbc-statements.html>
http://www.importnew.com/5006.html
http://www.cnblogs.com/zhizhuwang/p/3513372.html
https://blog.csdn.net/weixin_36586564/article/details/71213206?utm_source=blogxgwz0

Mysql中的Statement、PreparedStatement 和 CallableStatement

猜你喜欢