java中prepareStatement怎么用
在Java中，PreparedStatement是Statement的一个子接口，它代表了一个预编译的SQL语句。使用PreparedStatement不仅可以提高性能（因为数据库会预编译SQL语句并优化执行计划），还可以防止SQL注入攻击（因为它允许你使用参数化查询）。
以下是使用PreparedStatement的基本步骤：
1. 加载数据库驱动
首先，确保你的项目中已经包含了数据库的JDBC驱动，并且在代码中加载了这个驱动。对于JDBC 4.0及以上版本，如果驱动类位于类路径的META-INF/services/java.sql.Driver文件中，则无需显式加载驱动。
java复制代码
// JDBC 4.0及以后版本，通常不需要显式加载驱动 | |
// Class.forName("com.mysql.cj.jdbc.Driver"); |
2. 建立数据库连接
使用DriverManager.getConnection()方法建立与数据库的连接。
java复制代码
String url = "jdbc:mysql://localhost:3306/yourdatabase"; | |
String user = "username"; | |
String password = "password"; | |
Connection conn = DriverManager.getConnection(url, user, password); |
3. 创建PreparedStatement
使用Connection对象的prepareStatement(String sql)方法创建一个PreparedStatement对象。这里的SQL语句可以包含参数占位符（通常是?）。
java复制代码
String sql = "INSERT INTO users (name, email) VALUES (?, ?)"; | |
PreparedStatement pstmt = conn.prepareStatement(sql); |
4. 设置参数
使用PreparedStatement的setXxx方法（其中Xxx代表数据类型，如setInt、setString等）为SQL语句中的参数占位符设置值。
java复制代码
pstmt.setString(1, "John Doe"); | |
pstmt.setString(2, "john.doe@example.com"); |
5. 执行SQL语句
使用PreparedStatement的executeUpdate()、executeQuery()等方法执行SQL语句。executeUpdate()用于执行INSERT、UPDATE、DELETE等语句，executeQuery()用于执行SELECT语句。
java复制代码
int affectedRows = pstmt.executeUpdate(); | |
// 或者 | |
ResultSet rs = pstmt.executeQuery("SELECT * FROM users"); |
6. 处理结果（如果执行的是查询）
如果执行的是查询操作，需要处理ResultSet对象以获取查询结果。
java复制代码
if (rs.next()) { | |
// 处理结果集 | |
String name = rs.getString("name"); | |
String email = rs.getString("email"); | |
// ... | |
} | |
rs.close(); |
7. 关闭资源
最后，关闭PreparedStatement、ResultSet（如果使用了）和Connection对象，以释放数据库资源。
java复制代码
pstmt.close(); | |
// 如果使用了ResultSet | |
// rs.close(); | |
conn.close(); |
注意事项
- 总是使用try-with-resources语句（如果可用）或确保在finally块中关闭所有资源，以避免资源泄露。
- 参数占位符
?在SQL语句中用于表示参数的位置，而不是参数的值。 - 使用
PreparedStatement可以显著提高性能，因为它允许数据库预编译SQL语句并优化执行计划。 - 使用参数化查询可以有效防止SQL注入攻击。