PreparedStatement l 它是Statement接口的子接口； l 强大之处： Ø 防SQL攻击； Ø 提高代码的可读性、可维护性； Ø 提高效率！
l 学习PreparedStatement的用法： Ø 如何得到PreparedStatement对象： ¨ 给出SQL模板！
¨ 调用Connection的PreparedStatement prepareStatement(String sql模板)； ¨ 调用pstmt的setXxx()系列方法sql模板中的?赋值！
¨ 调用pstmt的executeUpdate()或executeQuery()，但它的方法都没有参数。
l 预处理的原理 Ø 服务器的工作： ¨ 校验sql语句的语法！
¨ 编译：一个与函数相似的东西！
¨ 执行：调用函数 Ø PreparedStatement： ¨ 前提：连接的数据库必须支持预处理！
几乎没有不支持的！
¨ 每个pstmt都与一个sql模板绑定在一起，先把sql模板给数据库，数据库先进行校验，再进行编译。
执行时只是把参数传递过去而已！
¨ 若二次执行时，就不用再次校验语法，也不用再次编译！
直接执行！
什么是SQL攻击 在需要用户输入的地方，用户输入的是SQL语句的片段，最终用户输入的SQL片段与我们DAO中写的SQL语句合成一个完整的SQL语句！
例如用户在登录时输入的用户名和密码都是为SQL语句的片段！
演示SQL攻击 首先我们需要创建一张用户表，用来存储用户的信息。
CREATE TABLE user(uid CHAR(32) PRIMARY KEY,username VARCHAR(30) UNIQUE KEY NOT NULL,password VARCHAR(30));INSERT INTO user VALUES('U_1001', 'cloud', 'cloud');SELECT * FROM user; 现在用户表中只有一行记录，就是zs。
下面我们写一个login()方法！
publicvoidlogin(String username, String password) {Connection con =null;Statement stmt =null;ResultSet rs =null;try{con = JdbcUtils.getConnection();stmt = con.createStatement();String sql ="SELECT * FROM user WHERE "+"username='"+ username +"' and password='"+ password +"'";rs = stmt.executeQuery(sql);if(rs.next()) {System.out.println("欢迎"+ rs.getString("username"));}else{System.out.println("用户名或密码错误！
");}}catch(Exception e) {thrownewRuntimeException(e);}finally{JdbcUtils.close(con, stmt, rs);}} 下面是调用这个方法的代码： login("a' or 'a'='a","a' or 'a'='a"); 这行当前会使我们登录成功！
因为是输入的用户名和密码是SQL语句片段，最终与我们的login()方法中的SQL语句组合在一起！
我们来看看组合在一起的SQL语句： SELECT * FROM tab_user WHERE username='a' or 'a'='a' and password='a' or 'a'='a' 防止SQL攻击 l 过滤用户输入的数据中是否包含非法字符； l 分步交验！
先使用用户名来查询用户，如果查找到了，再比较密码； l 使用PreparedStatement。
PreparedStatement是什么？
PreparedStatement也叫预编译声明！
PreparedStatement是Statement的子接口，你可以使用PreparedStatement来替换Statement。
PreparedStatement的好处： l 防止SQL攻击； l 提高代码的可读性，以可维护性； l 提高效率。
PreparedStatement的使用 l 使用Connection的prepareStatement(Stringsql)：即创建它时就让它与一条SQL模板绑定； l 调用PreparedStatement的setXXX()系列方法为问号设置值 l 调用executeUpdate()或executeQuery()方法，但要注意，调用没有参数的方法； String sql = “select * from tab_student where s_number=?”;PreparedStatement pstmt = con.prepareStatement(sql);pstmt.setString(1, “S_1001”);ResultSet rs = pstmt.executeQuery();rs.close();pstmt.clearParameters();pstmt.setString(1, “S_1002”);rs = pstmt.executeQuery(); 在使用Connection创建PreparedStatement对象时需要给出一个SQL模板，所谓SQL模板就是有“?”的SQL语句，其中“?”就是参数。
在得到PreparedStatement对象后，调用它的setXXX()方法为“?”赋值，这样就可以得到把模板变成一条完整的SQL语句，然后再调用PreparedStatement对象的executeQuery()方法获取ResultSet对象。
注意PreparedStatement对象独有的executeQuery()方法是没有参数的，而Statement的executeQuery()是需要参数（SQL语句）的。
因为在创建PreparedStatement对象时已经让它与一条SQL模板绑定在一起了，所以在调用它的executeQuery()和executeUpdate()方法时就不再需要参数了。
PreparedStatement最大的好处就是在于重复使用同一模板，给予其不同的参数来重复的使用它。
这才是真正提高效率的原因。
所以，建议大家在今后的开发中，无论什么情况，都去需要PreparedStatement，而不是使用Statement。
JdbcUtils工具类 JdbcUtils的作用 连接数据库的四大参数是：驱动类、url、用户名，以及密码。
这些参数都与特定数据库关联，如果将来想更改数据库，那么就要去修改这四大参数，那么为了不去修改代码，我们写一个JdbcUtils类，让它从配置文件中读取配置参数，然后创建连接对象。
JdbcUtils代码 JdbcUtils.java publicclassJdbcUtils {privatestaticfinalStringdbconfig="dbconfig.properties";privatestaticPropertiesprop=newProperties();static{try{InputStream in = Thread.currentThread().getContextClassLoader().getResourceAsStream(dbconfig);prop.load(in);Class.forName(prop.getProperty("driverClassName"));}catch(IOException e) {thrownewRuntimeException(e);}}publicstaticConnection getConnection() {try{returnDriverManager.getConnection(prop.getProperty("url"),prop.getProperty("username"),prop.getProperty("password"));}catch(Exception e) {thrownewRuntimeException(e);}}} dbconfig.properties driverClassName=com.mysql.jdbc.Driverurl=jdbc:mysql://localhost:3306/mydb1?useUnicode=true&characterEncoding=UTF8username=rootpassword=123 时间类型 Java中的时间类型 java.sql包下给出三个与数据库相关的日期时间类型，分别是： l Date：表示日期，只有年月日，没有时分秒。
会丢失时间； l Time：表示时间，只有时分秒，没有年月日。
会丢失日期； l Timestamp：表示时间戳，有年月日时分秒，以及毫秒。
这三个类都是java.util.Date的子类。
时间类型相互转换 把数据库的三种时间类型赋给java.util.Date，基本不用转换，因为这是把子类对象给父类的引用，不需要转换。
java.sql.Date date java.util.Date d = date; java.sql.Time time java.util.Date d = time; java.sql.Timestamp timestamp java.util.Date d = timestamp; 当需要把java.util.Date转换成数据库的三种时间类型时，这就不能直接赋值了，这需要使用数据库三种时间类型的构造器。
java.sql包下的Date、Time、TimeStamp三个类的构造器都需要一个long类型的参数，表示毫秒值。
创建这三个类型的对象，只需要有毫秒值即可。
我们知道java.util.Date有getTime()方法可以获取毫秒值，那么这个转换也就不是什么问题了。
java.utl.Date d= new java.util.Date(); java.sql.Datedate = new java.sql.Date(d.getTime());//会丢失时分秒 Time time = newTime(d.getTime());//会丢失年月日 Timestamptimestamp = new Timestamp(d.getTime()); 代码描述 我们来创建一个dt表： CREATE TABLE timeTest(d DATE,t TIME,ts TIMESTAMP) 下面是向dt表中插入数据的代码： @Testpublicvoidfun1()throwsSQLException {Connection con = JdbcUtils.getConnection();String sql ="insert into timeTest value(?,?,?)";PreparedStatement pstmt = con.prepareStatement(sql);java.util.Date d =newjava.util.Date();pstmt.setDate(1,newjava.sql.Date(d.getTime()));pstmt.setTime(2,newTime(d.getTime()));pstmt.setTimestamp(3,newTimestamp(d.getTime()));pstmt.executeUpdate();} 下面是从timeTest表中查询数据的代码： @Testpublicvoidfun2()throwsSQLException {Connection con = JdbcUtils.getConnection();String sql ="select * from timeTest ";PreparedStatement pstmt = con.prepareStatement(sql);ResultSet rs = pstmt.executeQuery();rs.next();java.util.Date d1 = rs.getDate(1);java.util.Date d2 = rs.getTime(2);java.util.Date d3 = rs.getTimestamp(3);System.out.println(d1);System.out.println(d2);System.out.println(d3);} 批处理 Statement批处理 批处理就是一批一批的处理，而不是一个一个的处理！
当你有10条SQL语句要执行时，一次向服务器发送一条SQL语句，这么做效率上很差！
处理的方案是使用批处理，即一次向服务器发送多条SQL语句，然后由服务器一次性处理。
批处理只针对更新（增、删、改）语句，批处理没有查询什么事儿！
可以多次调用Statement类的addBatch(Stringsql)方法，把需要执行的所有SQL语句添加到一个“批”中，然后调用Statement类的executeBatch()方法来执行当前“批”中的语句。
l void addBatch(String sql)：添加一条语句到“批”中； l int[] executeBatch()：执行“批”中所有语句。
返回值表示每条语句所影响的行数据； l void clearBatch()：清空“批”中的所有语句。
for(inti = 0; i < 10; i++) {String number ="S_10"+ i;String name ="stu"+ i;intage = 20 + i;String gender = i % 2 == 0 ?"male":"female";String sql ="insert into stu values('"+ number +"', '"+ name +"', "+ age +", '"+ gender +"')";stmt.addBatch(sql);}stmt.executeBatch(); 当执行了“批”之后，“批”中的SQL语句就会被清空！
也就是说，连续两次调用executeBatch()相当于调用一次！
因为第二次调用时，“批”中已经没有SQL语句了。
还可以在执行“批”之前，调用Statement的clearBatch()方法来清空“批”！
PreparedStatement批处理 PreparedStatement的批处理有所不同，因为每个PreparedStatement对象都绑定一条SQL模板。
所以向PreparedStatement中添加的不是SQL语句，而是给“?”赋值。
con = JdbcUtils.getConnection();String sql ="insert into stu values(?,?,?,?)";pstmt = con.prepareStatement(sql);for(inti = 0; i < 10; i++) {pstmt.setString(1,"S_10"+ i);pstmt.setString(2,"stu"+ i);pstmt.setInt(3, 20 + i);pstmt.setString(4, i % 2 == 0 ?"male":"female");pstmt.addBatch();}pstmt.executeBatch();