Como funciona o PreparedStatement do Java?

Question

Estou planejando para substituir objetos Statement repetidamente executados com PreparedStatement objetos para melhorar o desempenho. Eu estou usando argumentos como o now() função do MySQL, e variáveis ??de cadeia.

A maioria das consultas PreparedStatement eu vi continha valores constantes (como 10, e strings como "New York") como argumentos utilizados para a ? nas consultas. Como eu iria sobre como utilizar funções como now() e variáveis ??como argumentos? É necessário utilizar os ?s nas consultas em vez de valores reais? Estou bastante confuso.

Answer 1

Se você tem variáveis ??usar o '?'

int temp = 75;
PreparedStatement pstmt = con.prepareStatement(
    "UPDATE test SET num = ?, due = now() ");
pstmt.setInt(1, temp); 
pstmt.executeUpdate():

Produz uma statment sql que se parece com:

UPDATE test SET num = 75, due = now();

Answer 2

Se você tem uma variável que vem de entrada do usuário, é essencial que você use o? ao invés de concatenar as strings. Os usuários podem inserir uma string de forma maliciosa, e se você deixar cair a corda em linha reta em SQL que pode executar um comando que não tinha a intenção.

Eu percebo este é usado em demasia, mas ele diz que perfeitamente:

Answer 3

Você não tem que usar espaços reservados em um PreparedStatement. Algo como:

PreparedStatement stmt = con.prepareStatement("select sysdate from dual");

iria funcionar muito bem. No entanto, você não pode usar um espaço reservado e, em seguida, ligar uma chamada de função a ele. Algo como isso não pode ser usado para chamar a função sysdate:

PreparedStatement stmt = con.prepareStatement("select ? from dual");
stmt.setSomethingOrOther(1, "sysdate");

Answer 4

Se você está chamando construído em funções do seu servidor SQL, em seguida, usar PreparedStatement .

Se você está chamando procedimentos que foram carregados em seu servidor SQL, em seguida, usar CallableStatement .

Use pontos de interrogação como espaços reservados para parâmetros de função / procedimento que você está passando e valores de retorno da função que você está recebendo.

Answer 5

Eu desenvolvi uma função que permite a utilização de parâmetros nomeados em suas consultas SQL:

private PreparedStatement generatePreparedStatement(String query, Map<String, Object> parameters) throws DatabaseException
    {
        String paramKey = "";
        Object paramValue = null;
        PreparedStatement statement = null;
        Pattern paramRegex = null; 
        Matcher paramMatcher = null;
        int paramIndex = 1;

        try
        {
            //Create the condition
            paramRegex = Pattern.compile("(:[\\d\\w_-]+)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE);
            paramMatcher = paramRegex.matcher(query);
            statement = this.m_Connection.prepareStatement(paramMatcher.replaceAll("?"),
                                ResultSet.TYPE_FORWARD_ONLY,
                                ResultSet.CONCUR_READ_ONLY, 
                                ResultSet.HOLD_CURSORS_OVER_COMMIT);

            //Check if there are parameters
            paramMatcher = paramRegex.matcher(query);
            while (paramMatcher.find()) 
            {
                paramKey = paramMatcher.group().substring(1);
                if(parameters != null && parameters.containsKey(paramKey))
                {
                    //Add the parameter 
                    paramValue = parameters.get(paramKey);
                    if (paramValue instanceof Date) 
                    {
                        statement.setDate(paramIndex, (java.sql.Date)paramValue);                 
                    } 
                    else if (paramValue instanceof Double) 
                    {
                        statement.setDouble(paramIndex, (Double)paramValue);                  
                    } 
                    else if (paramValue instanceof Long) 
                    {
                        statement.setLong(paramIndex, (Long)paramValue);                  
                    } 
                    else if (paramValue instanceof Integer) 
                    {
                        statement.setInt(paramIndex, (Integer)paramValue);                
                    } 
                    else if (paramValue instanceof Boolean) 
                    {
                        statement.setBoolean(paramIndex, (Boolean)paramValue);                
                    } 
                    else 
                    {
                        statement.setString(paramIndex, paramValue.toString());     
                    }
                }
                else
                {
                    throw new DatabaseException("The parameter '" + paramKey + "' doesn't exists in the filter '" + query + "'");
                }

                paramIndex++;
            }
        }
        catch (SQLException  l_ex) 
        {
            throw new DatabaseException(tag.lib.common.ExceptionUtils.getFullMessage(l_ex));
        }

        return statement;
    }

Você pode usá-lo desta maneira:

Map<String, Object> pars = new HashMap<>();
pars.put("name", "O'Really");
String sql = "SELECT * FROM TABLE WHERE NAME = :name";