10.4. PreparedStatement 比 Statement 有哪些优势

Question

PreparedStatement 是预编译， 因此它们的表现会更好。 PreparedStatement 对象可以使用不同的输入值的查询。

PreparedStatement 比 Statement 有以下几个优势：

1. SQL 注入攻击：使用 Statement 的时候，如果 SQL 语句中有参数，拼接 SQL 语句时需要手动将参数转义，否则容易受到 SQL 注入攻击。而使用 PreparedStatement 时，参数已经预编译过了，避免了 SQL 注入攻击。
2. 性能优化：使用 PreparedStatement 可以在多次执行相同的语句时提高性能。PreparedStatement 在第一次执行 SQL 语句时就进行了编译，然后存储在数据库服务器的缓存中，下次使用时就可以直接从缓存中取出，避免了编译的开销。
3. 代码可读性：使用 PreparedStatement 时，可以将 SQL 语句和参数分开处理，让代码更加易读易维护。而使用 Statement 时，SQL 语句和参数需要手动拼接成一个字符串，难以在代码层面进行维护和修改。
4. 数据类型自动转换：PreparedStatement 可以自动将 Java 数据类型转换为数据库能够处理的数据类型，如整型自动转为 INTEGER，浮点型自动转为 DOUBLE，避免了手动转换的繁琐过程。

综上所述，PreparedStatement 比 Statement 更加安全、高效、易读易维护，并且能够自动进行数据类型转换，是更加优秀的数据库编程方式。