目录
2 : PreparedStatement的优点1-参数设置
3 : PreparedStatement的优点2-性能表现
4 : PreparedStatement的优点3-防止SQL注入式攻击
详情看这里JAVA 中级 / JDBC / JDBC系列教材 （五）- 在JDBC中使用预编译STATEMENT 以及它的优点
1 : 使用PreparedStatement
和 Statement一样，PreparedStatement也是用来执行sql语句的。
与创建Statement不同的是，需要根据sql语句创建PreparedStatement
除此之外，还能够通过设置参数，指定相应的值，而不是Statement那样使用字符串拼接
注： 这是JAVA里唯二的基1的地方，另一个是查询语句中的ResultSet也是基1的。
2 : PreparedStatement的优点1-参数设置
Statement 需要进行字符串拼接，可读性和维护性比较差
String sql = "insert into hero values(null,"+"'提莫'"+","+313.0f+","+50+")";
PreparedStatement 使用参数设置，可读性好，不易犯错
String sql = "insert into hero values(null,?,?,?)";
3 : PreparedStatement的优点2-性能表现
PreparedStatement有预编译机制，性能比Statement更快
sql语句拼接的时候使用了占位符？
所谓SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。
预编译需要获取到数据库连接对象connection，但是sql语句拼接的时候使用了占位符？，将含有占位符的sql当参数传进去，获取到PreparedStatement预编译的对象，最后是通过set来绑定参数，然后再去使用execute执行预编译过的代码。这样就避免了sql注入的问题，同时，由于sql已经编译过缓存在数据库中，所以执行起来不用再编译，速度就会比较快。
3.1预编译语句PreparedStatement
什么是预编译语句
预编译语句PreparedStatement 是java.sql中的一个接口，它是Statement的子接口。通过Statement对象执行SQL语句时，需要将SQL语句发送给DBMS，由DBMS首先进行编译后再执行。预编译语句和Statement不同，在创建PreparedStatement 对象时就指定了SQL语句，该语句立即发送给DBMS进行编译。当该编译语句被执行时，DBMS直接运行编译后的SQL语句，而不需要像其他SQL语句那样首先将其编译。
什么时候使用预编译语句
一般是在需要反复使用一个SQL语句时才使用预编译语句，预编译语句常常放在一个for或者while循环里面使用，通过反复设置参数从而多次使用该SQL语句；为了防止SQL注入漏洞，在某些数据操作中也使用预编译语句。
一、SQL注入简介
SQL注入是比较常见的网络攻击方式之一，它不是利用操作系统的BUG来实现攻击，而是针对程序员编程时的疏忽，通过SQL语句，实现无帐号登录，甚至篡改数据库。
1.（简单又有效的方法）PreparedStatement
采用预编译语句集，它内置了处理SQL注入的能力，只要使用它的setXXX方法传值即可。
使用好处：
(1).代码的可读性和可维护性.
(2).PreparedStatement尽最大可能提高性能.
(3).最重要的一点是极大地提高了安全性.
原理：
sql注入只对sql语句的准备(编译)过程有破坏作用
而PreparedStatement已经准备好了,执行阶段只是把输入串作为数据处理,
而不再对sql语句进行解析,准备,因此也就避免了sql注入问题.
例子：有一个登录框，需要输入用户名和密码，然后我们的密码输入 'or '123' = '123 这样的。我们在查询用户名和密码是否正确的时候，本来执行的sql语句是：select * from user where username = '' and password = ''. 这样的sql语句，现在我们输入密码是如上这样的，然后我们会通过参数进行拼接，拼接后的sql语句就是：
select * from user where username = '' and password = ' ' or '123' = '123 '; 这样的了，那么会有一个or语句，只要这两个有一个是正确的话，就条件成立，因此 123 = 123 是成立的。因此验证就会被跳过。这只是一个简单的列子，
用java PreparedStatement就不用担心sql注入了吗？
基本都了解PreparedStatement，PreparedStatement相比Statement基本解决了SQL注入问题，而且效率也有一定提升。
关于PreparedStatement和Statement其他细节我们不讨论，只关心注入问题。无论读者是老鸟还是菜鸟，都需要问一下自己，PreparedStatement真的百分百防注入吗？
4 : PreparedStatement的优点3-防止SQL注入式攻击
假设name是用户提交来的数据
String name = "'盖伦' OR 1=1";
使用Statement就需要进行字符串拼接
拼接出来的语句是：
select * from hero where name = '盖伦' OR 1=1
因为有OR 1=1，这是恒成立的
那么就会把所有的英雄都查出来，而不只是盖伦
如果Hero表里的数据是海量的，比如几百万条，把这个表里的数据全部查出来
会让数据库负载变高，CPU100%，内存消耗光，响应变得极其缓慢
而PreparedStatement使用的是参数设置，就不会有这个问题
防止SQL注入，我们需要注意以下几个要点：
- 1.永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和 双"-"进行转换等。
- 2.永远不要使用动态拼装sql，可以使用参数化的sql或者直接使用存储过程进行数据查询存取。
- 3.永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。
- 4.不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。
- 5.应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装
- 6.sql注入的检测方法一般采取辅助软件或网站平台来检测，软件一般采用sql注入检测工具jsky，网站平台就有亿思网站安全平台检测工具。MDCSOFT SCAN等。采用MDCSOFT-IPS可以有效的防御SQL注入，XSS攻击等。