我是否应该对Java中的所有数据库插入都使用PreparedStatements？

Question

在将变量插入Java中的数据库之前，建议使用哪种转义变量的方法？

据我了解，我可以使用PreparedStatement.setString（）来转义数据，但是，如果我不打算再次运行相同的查询，则PreparedStatement似乎不切实际。.是否有一种更好的方式来做而不准备每个查询？

Answer 1

是的，对所有内容使用准备好的语句。

1. 他们被解析一次。

2. 他们不受SQL注入攻击的影响。

3. 它们是一个更好的设计，因为您必须考虑您的SQL及其用法。

如果您认为它们只使用过一次，那么您就不会看大图了。有一天，您的数据或应用程序将更改。

编辑。

为什么准备好的语句会让您考虑一下SQL？

• 当您汇编一个字符串（或简单地执行文本的文字块）时，您并不是在创建一个新的PreparedStatement对象。您只是在执行SQL-可以很随意地完成。

• 当您必须创建（并保存）a时PreparedStatement，您只需要考虑封装，责任分配等问题。语句的准备是进行任何SQL处理之前的有状态事件。

额外的工作很小，但并不微不足道。这就是促使人们开始考虑ORM和数据缓存层以及诸如此类的东西以优化其数据库访问的原因。

使用Prepared语句，数据库访问变得更轻松，更有意。