Statement对象是用来执行SQL语句的PreparedStatement：预编译的Statement对象，是Statement的子接口。
一.性能和代码编写的简洁程度方面它允许数据库预编译SQL语句（这些SQL语句通常有带有参数），以后每次只需改变SQL命令的参数，避免数据库每次都需要编译SQL语句，提高了性能。 e.g. 连接数据库部分//已定义好driver、url、user、passwd等//加载驱动Class.forName(driver);//获得连接Connection conn = DriverManager.getConnection(url, user, passwd);
Statement：
//用Connection创建一个Statement Statement stmt = conn.createStatement() {//100条SQL语句来插入100条记录for(int i = 0;i < 100;i++) {stmt.executeUpdate("insert into student values(" + "null, 'aaa" + i + "',90)");}}PreparedStatement：//用Connection创建一个PreparedStatement PreparedStatement pstmt = conn,getPreparedStatement("insert into student_table values(null, ?, 90)") {//设置参数，100次传入参数而不是100次传入SQL语句for(int i = 0;i < 100;i++) {pstmt.setString(1, "姓名" + i);//执行pstmt.executeUpdate();}}通过运行以上的代码可以发现，PreparedStatement插入100条记录所用的时间比Statement插入100条记录所花费时间少。而且可以在代码中可以看出，带有参数的SQL语句，创建Statement对象需要对参数进行拼接，但是PreparedStatement会简洁很多。
完整代码移步GitHub：
Statement&PrepareStatement
运行结果：
二.安全方面又因为PreparedStatement不需要拼接，还可以防止SQL注入从而提高安全性
注：SQL注入是一种Cracker入侵方式，从SQL语句的漏洞入侵
比如一个登录页面，我们在获取表单传来的参数，将其与数据库中的数据进行比对，比对有该账号密码时则登录成功：
Statement：
//传入参数username和passwd是提交的信息String sql = "select * from users " + "where username = ' " + username + " ' and password= ' " + passwd + " ';rs = stmt.executeQuery(sql);如果在username框中输入了：'or true or'，那么，拼接后的SQL语句就变成了：select * from users where username = ' ' or true or ' ' and desc = ' ';结果为true被SQL当成直接量那么直接会登录成功PreparedStatement：//传入参数username和passwd是提交的信息PreparedStatement pstmt = conn.getPreparedStatement("select * from users where username = ? and password= ?");pstmt.setString(1, username);pstmt.setString(2, passwd);从上述可以看出PreparedStatement相较于Statement有三个好处：
1. 预编译，性能较好
2. 不用拼接，易编写易读懂
3. 防止SQL注入，提高安全性
总结以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作具有一定的参考学习价值，谢谢大家对脚本之家的支持。如果你想了解更多相关内容请查看下面相关链接
您可能感兴趣的文章:JDBC使用Statement修改数据库Java使用PreparedStatement接口及ResultSet结果集的方法示例Java使用Statement接口执行SQL语句操作实例分析Java数据库连接PreparedStatement的使用详解利用JDBC的PrepareStatement打印真实SQL的方法详解MyBatis绑定错误提示BindingException:Invalid bound statement (not found)的解决方法PHP PDOStatement对象bindpram()、bindvalue()和bindcolumn之间的区别PDO预处理语句PDOStatement对象使用总结JDBC之PreparedStatement类中预编译的综合应用解析You must SET PASSWORD before executing this statement的解决方法