Come funziona Java PreparedStatement?
-
03-07-2019 - |
Domanda
Ho intenzione di sostituire gli oggetti Statement eseguiti ripetutamente con oggetti PreparedStatement
per migliorare le prestazioni. Sto usando argomenti come la funzione MySQL now ()
e variabili stringa.
La maggior parte delle query PreparedStatement
che ho visto contenevano valori costanti (come 10
e stringhe come " New York "
) come argomenti utilizzato per il ?
nelle query. Come potrei utilizzare funzioni come now ()
e variabili come argomenti? È necessario utilizzare i ?
nelle query anziché i valori effettivi? Sono abbastanza confuso.
Soluzione
Se hai variabili usa '?'
int temp = 75;
PreparedStatement pstmt = con.prepareStatement(
"UPDATE test SET num = ?, due = now() ");
pstmt.setInt(1, temp);
pstmt.executeUpdate():
Produce un'istruzione sql che assomiglia a:
UPDATE test SET num = 75, due = now();
Altri suggerimenti
Se hai una variabile che proviene dall'input dell'utente, è essenziale usare il? piuttosto che concatenare le stringhe. Gli utenti potrebbero inserire una stringa in modo dannoso e se la lasci cadere direttamente in SQL, può eseguire un comando che non avevi intenzione.
Mi rendo conto che questo è abusato, ma lo dice perfettamente:
Non è necessario utilizzare segnaposto in PreparedStatement. Qualcosa del tipo:
PreparedStatement stmt = con.prepareStatement("select sysdate from dual");
funzionerebbe bene. Tuttavia, non è possibile utilizzare un segnaposto e quindi associare una chiamata di funzione ad esso. Qualcosa del genere non può essere usato per chiamare la funzione sysdate:
PreparedStatement stmt = con.prepareStatement("select ? from dual");
stmt.setSomethingOrOther(1, "sysdate");
Se stai chiamando le funzioni integrate del tuo server SQL, usa PreparedStatement .
Se si stanno chiamando procedure memorizzate che sono state caricate sul proprio server SQL, utilizzare CallableStatement .
Usa i punti interrogativi come segnaposto per i parametri della funzione / procedura che stai passando e i valori di ritorno della funzione che stai ricevendo.
Ho sviluppato una funzione che ti consente di utilizzare i parametri con nome nelle tue query SQL:
private PreparedStatement generatePreparedStatement(String query, Map<String, Object> parameters) throws DatabaseException
{
String paramKey = "";
Object paramValue = null;
PreparedStatement statement = null;
Pattern paramRegex = null;
Matcher paramMatcher = null;
int paramIndex = 1;
try
{
//Create the condition
paramRegex = Pattern.compile("(:[\\d\\w_-]+)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE);
paramMatcher = paramRegex.matcher(query);
statement = this.m_Connection.prepareStatement(paramMatcher.replaceAll("?"),
ResultSet.TYPE_FORWARD_ONLY,
ResultSet.CONCUR_READ_ONLY,
ResultSet.HOLD_CURSORS_OVER_COMMIT);
//Check if there are parameters
paramMatcher = paramRegex.matcher(query);
while (paramMatcher.find())
{
paramKey = paramMatcher.group().substring(1);
if(parameters != null && parameters.containsKey(paramKey))
{
//Add the parameter
paramValue = parameters.get(paramKey);
if (paramValue instanceof Date)
{
statement.setDate(paramIndex, (java.sql.Date)paramValue);
}
else if (paramValue instanceof Double)
{
statement.setDouble(paramIndex, (Double)paramValue);
}
else if (paramValue instanceof Long)
{
statement.setLong(paramIndex, (Long)paramValue);
}
else if (paramValue instanceof Integer)
{
statement.setInt(paramIndex, (Integer)paramValue);
}
else if (paramValue instanceof Boolean)
{
statement.setBoolean(paramIndex, (Boolean)paramValue);
}
else
{
statement.setString(paramIndex, paramValue.toString());
}
}
else
{
throw new DatabaseException("The parameter '" + paramKey + "' doesn't exists in the filter '" + query + "'");
}
paramIndex++;
}
}
catch (SQLException l_ex)
{
throw new DatabaseException(tag.lib.common.ExceptionUtils.getFullMessage(l_ex));
}
return statement;
}
Puoi usarlo in questo modo:
Map<String, Object> pars = new HashMap<>();
pars.put("name", "O'Really");
String sql = "SELECT * FROM TABLE WHERE NAME = :name";