JDBC - 准备语句 - 我应该如何使用它？

Question

我在某处看到了这个例子：

 rs = connection.prepareStatement("select * from table").executeQuery();

如果我想执行这样的查询“Select * from table where column = “hello””，我可以使用这种格式吗？

我通常使用prepareStatement对象的方式是这样的：

        String sql = "select * from adresa where column = ?";
        PreparedStatement pre = con.prepareStatement(sql);
        pre.setString(1, i);
        rs = pre.executeQuery();

稍后编辑：

我不明白。 Pascal Thivent 写道，我可以使用带 In 参数的简短版本，但 Liu 告诉我这是不可能的。 :) Anw，使用 Pascal 的版本，我收到此错误： void 无法取消引用

Answer 1

这是如何使用此接口的部分示例：

static final String USER = "root";
            static final String PASS = "newpass";

            Connection conn = DriverManager.getConnection(myUrl, USER, PASS);

            // create a sql date object so we can use it in our INSERT statement
            Calendar calendar = Calendar.getInstance();
            java.sql.Date startDate = new java.sql.Date(calendar.getTime().getTime());

            // the mysql insert statement
            String query = " insert into students (ID, last_name, first_name, birthday, hometown)"
                    + " values (?, ?, ?, ?, ?)";

            // create the mysql insert preparedstatement
            PreparedStatement preparedStmt = conn.prepareStatement(query);
            preparedStmt.setInt(1, 808027);
            preparedStmt.setString(2, "Davis");
            preparedStmt.setString(3, "Felicita");
            preparedStmt.setDate(4, startDate);
            preparedStmt.setString(5, "Venice");

            // execute the preparedstatement
            preparedStmt.execute();

            conn.close();

Answer 2

如果查询中没有绑定变量（问号），则只能使用第一种形式。这只是您发布的内容的缩短版本。

另外，如果您使用缩写形式，您将没有机会重用PreparedStatement 对象。

Answer 3

当然，您可以使用字符串变量进行查询，在其中输入动态数据并运行它。

rs = connection.prepareStatement(variable).executeQuery();

Answer 4

长格式很常见，但是准备好的语句可以由数据库预编译，如果使用得当将有助于防止 sql 注入。

Connection conn = null;
ResultSet rs = null;
PreparedStatement ps = null;
try {
 conn = getConn();
 ps = conn.prepareStatement("select * from x where y = ? "); //note no sb.append()'s or +'s, to helps prevent sql injection
 ps.setLong(1, 12l);
 rs = ps.executeQuery();

 while (rs.next()) {
 ... act ...
 }
} catch ( Exception e) {
} finally {
 if (rs != null) rs.close(); 
 if (ps != null) ps.close();
 if (conn != null) conn.close();
}

谁说java很冗长。 :)