Question

JDBC中的Statement和PreparedStatement的区别

Answer 1

Statement
用于执行静态 SQL 语句并返回它所生成结果的对象。
在默认情况下，同一时间每个 Statement 对象在只能打开一个 ResultSet 对象。因此，如果读取一个 ResultSet 对象与读取另一个交叉，则这两个对象必须是由不同的 Statement 对象生成的。如果存在某个语句的打开的当前 ResultSet 对象，则 Statement 接口中的所有执行方法都会隐式关闭它。
PreparedStatement是Statement的子接口
表示预编译的 SQL 语句的对象。
SQL 语句被预编译并存储在 PreparedStatement 对象中。然后可以使用此对象多次高效地执行该语句。
Statement会直接执行execute中的sql语句（容易被sql注入攻击）。PreparedStatement是先将sql预编译后在执行，所以建议使用PreparedStatement。