JDBC中的Statement和PreparedStatement的區別

以Oracle為例吧

Statement為一條Sql語句產生執行計畫，
如果要執行兩條sql語句
select colume from table where colume=1;
select colume from table where colume=2;
會產生兩個執行計畫
一千個查詢就產生一千個執行計畫！

PreparedStatement用於使用綁定變數重用執行計畫
select colume from table where colume=:x;
通過set不同資料只需要產生一次執行計畫，可以重用

是否使用綁定變數對系統影響非常大，產生執行計畫極為消耗資源
兩種實現 速度差距可能成百上千倍

1.PreparedStatement是先行編譯的,對於批量處理可以大大提高效率.也叫JDBC預存程序

2.使用 Statement 對象。在對資料庫只執行一次性存取的時侯，用 Statement 對象進行處理。PreparedStatement對象的開銷比Statement大，對於一次性操作並不會帶來額外的好處。

3.statement每次執行sql語句，相關資料庫都要執行sql語句的編譯，preparedstatement是先行編譯得,preparedstatement支援批處理

4.
Code Fragment 1:

String updateString = "UPDATE COFFEES SET SALES = 75 " + "WHERECOF_NAME LIKE ′Colombian′";stmt.executeUpdate(updateString);

Code Fragment 2:

PreparedStatement updateSales = con.prepareStatement("UPDATE COFFEES SETSALES = ? WHERE COF_NAME LIKE ? ");updateSales.setInt(1, 75);updateSales.setString(2, "Colombian");updateSales.executeUpdate();

片斷2和片斷1的區別在於，後者使用了PreparedStatement對象，而前者是普通的Statement對象。PreparedStatement對象不僅包含了SQL語句，而且大多數情況下這個語句已經被先行編譯過，因而當其執行時，只需DBMS運行SQL語句，而不必先編譯。當你需要執行Statement對象多次的時候，PreparedStatement對象將會大大降低已耗用時間，當然也加快了訪問資料庫的速度。
這種轉換也給你帶來很大的便利，不必重複SQL語句的句法，而只需更改其中變數的值，便可重新執行SQL語句。選擇PreparedStatement對象與否，在於相同句法的SQL語句是否執行了多次，而且兩次之間的差別僅僅是變數的不同。如果僅僅執行了一次的話，它應該和普通的對象毫無差異，體現不出它先行編譯的優越性。

5.執行許多SQL語句的JDBC程式產生大量的Statement和PreparedStatement對象。通常認為PreparedStatement對象比Statement對象更有效,特別是如果帶有不同參數的同一SQL語句被多次執行的時候。PreparedStatement對象允許資料庫先行編譯SQL語句，這樣在隨後的運行中可以節省時間並增加代碼的可讀性。

然而，在Oracle環境中，開發人員實際上有更大的靈活性。當使用Statement或PreparedStatement對象時，Oracle資料庫會緩衝SQL語句以便以後使用。在一些情況下,由於磁碟機自身需要額外的處理和在Java應用程式和Oracle伺服器間增加的網路活動，執行PreparedStatement對象實際上會花更長的時間。

然而，除了緩衝的問題之外，至少還有一個更好的原因使我們在公司專屬應用程式程式中更喜歡使用PreparedStatement對象,那就是安全性。傳遞給PreparedStatement對象的參數可以被強制進行類型轉換，使開發人員可以確保在插入或查詢資料時與底層的資料庫格式匹配。

當處理公用Web網站上的使用者傳來的資料的時候，安全性的問題就變得極為重要。傳遞給PreparedStatement的字串參數會自動被磁碟機忽略。最簡單的情況下，這就意味著當你的程式試著將字串“D'Angelo”插入到VARCHAR2中時，該語句將不會識別第一個“，”，從而導致悲慘的失敗。幾乎很少有必要建立你自己的字串忽略代碼。

在Web環境中，有惡意的使用者會利用那些設計不完善的、不能正確處理字串的應用程式。特別是在公用Web網站上,在沒有首先通過PreparedStatement對象處理的情況下，所有的使用者輸入都不應該傳遞給SQL語句。此外，在使用者有機會修改SQL語句的地方，如HTML的隱藏地區或一個查詢字串上，SQL語句都不應該被顯示出來。
在執行SQL命令時，我們有二種選擇：可以使用PreparedStatement對象，也可以使用Statement對象。無論多少次地使用同一個SQL命令，PreparedStatement都只對它解析和編譯一次。當使用Statement對象時，每次執行一個SQL命令時，都會對它進行解析和編譯。

第一：
prepareStatement會先初始化SQL，先把這個SQL提交到資料庫中進行預先處理，多次使用可提高效率。
createStatement不會初始化，沒有預先處理，沒次都是從0開始執行SQL

第二：
prepareStatement可以替換變數
在SQL語句中可以包含?，可以用ps=conn.prepareStatement("select* from Cust where ID=?");
int sid=1001;
ps.setInt(1, sid);
rs = ps.executeQuery();
可以把?替換成變數。
而Statement只能用
int sid=1001;
Statement stmt = conn.createStatement();
ResultSet rs = stmt.executeQuery("select * from Cust where ID="+sid);
來實現。

第三：
prepareStatement會先初始化SQL，先把這個SQL提交到資料庫中進行預先處理，多次使用可提高效率。
createStatement不會初始化，沒有預先處理，沒次都是從0開始執行SQL