JAVA的PreparedStatement和addBatch()方法

本文介紹兩個內容，為什么使用PreparedStatement的addBatch()方法？以及使用PreparedStatement的好處。

一、addBatch使用方法

昨天用JAVA做了一個導表的功能，數據量非常多，使用下面的緩沖方法非常使用。

1. 建立鏈接 

Connection connection =getConnection();

2. 去掉自動提交功能 Commit

connection.setAutoCommit(false);

3. 預編譯SQL語句,只編譯一回哦,效率高啊。

PreparedStatement statement = connection.prepareStatement("INSERT INTO TABLEX VALUES(?, ?)");

4. 注備語句

//記錄1
statement.setInt(1, 1); 
statement.setString(2, "Cujo"); 
statement.addBatch(); 
//記錄2
statement.setInt(1, 2); 
statement.setString(2, "Fred"); 
statement.addBatch(); 
//記錄3
statement.setInt(1, 3); 
statement.setString(2, "Mark"); 
statement.addBatch(); 

5. 批量執行上面3條語句

int [] counts = statement.executeBatch(); 
//Commit it 咽下去,到肚子(DB)里面
connection.commit();

二、使用PreparedStatement的好處：

1、代碼的可讀性和可維護性：

雖然用PreparedStatement來代替Statement會使代碼多出幾行，但這樣的代碼無論從可讀性還是可維護性上來說，都比直接用Statement的代碼高很多檔次:

--第一種方法
stmt.executeUpdate("insert into tb_name (col1,col2,col2,col4) values ('"+var1+"','"+var2+"',"+var3+",'"+var4+"')");//stmt是Statement對象實例
-------------------------------------------------------------------------
--第二種方法
perstmt = con.prepareStatement("insert into tb_name (col1,col2,col2,col4) values (?,?,?,?)");
perstmt.setString(1,var1);
perstmt.setString(2,var2);
perstmt.setString(3,var3);
perstmt.setString(4,var4);
perstmt.executeUpdate(); //prestmt是 PreparedStatement 對象實例

一看便知，對於第一種方法，別說其他人去讀你的代碼，就是你自己過一段時間再去讀，都會覺得傷心。

2、PreparedStatement盡最大可能提高性能：

語句在被DB的編譯器編譯后的執行代碼被緩存下來，那么下次調用時只要是相同的預編譯語句就不需要編譯，只要將參數直接傳入編譯過的語句執行代碼中(這相當於一個涵數)就會得到執行。這並不是說只有一個Connection中多次執行的預編譯語句被緩存，而是對於整個DB中，只要預編譯的語句語法和緩存中匹配，那么在任何時候就可以不需要再次編譯而可以直接執行。

而statement的語句中，即使是相同一操作，而由於每次操作的數據不同所以使整個語句相匹配的機會極小，幾乎不太可能匹配。比如:

insert into tb_name (col1,col2) values ('11','22');
insert into tb_name (col1,col2) values ('11','23');

即使是相同操作但因為數據內容不一樣，所以整個個語句本身不能匹配，沒有緩存語句的意義。事實是沒有數據庫會對普通語句編譯后的執行代碼緩存。

（當然並不是所有的預編譯語句都一定會被緩存，數據庫本身會用一種策略，比如使用頻度等因素來決定什么時候不再緩存已有的預編譯結果，以保存有更多的空間存儲新的預編譯語句。）

3、最重要的一點是提高了安全性：

可能到目前為止，仍有一些人連基本的惡義SQL語法都不知道：

String sql = "select * from tb_name where name= '"+varname+"' and passwd='"+varpasswd+"'";

如果我們把[' or '1' = '1]作為varpasswd傳入進來.用戶名隨意,看看會成為什么?

select * from tb_name = '隨意' and passwd = '' or '1' = '1';

因為'1'='1'肯定成立，所以可以任何通過驗證。這算比較委婉的，更有甚者把[';drop table tb_name;]作為varpasswd傳入進來... 關於數據安全方面的內容這里就不做展開討論了，總之使用PreparedStatement讓執行的SQL更安全。