什么是Statement

Posted 2023-04-24

在默认情况下，同一时间每个 Statement 对象在只能打开一个 ResultSet 对象。因此，如果读取一个 ResultSet 对象与读取另一个交叉，则这两个对象必须是由不同的 Statement 对象生成的。如果存在某个语句的打开的当前 ResultSet 对象，则 Statement 接口中的所有执行方法都会隐式关闭它。 Statement 对象用于将 SQL 语句发送到数据库中。实际上有三种 Statement 对象，它们都作为在给定连接上执行 SQL 语句的包容器：Statement、PreparedStatement（它从 Statement 继承而来）和 CallableStatement（它从 PreparedStatement 继承而来）。它们都专用于发送特定类型的 SQL 语句： Statement 对象用于执行不带参数的简单 SQL 语句；PreparedStatement 对象用于执行带或不带 IN 参数的预编译 SQL 语句；CallableStatement 对象用于执行对数据库已存储过程的调用。 Statement 接口提供了执行语句和获取结果的基本方法。PreparedStatement 接口添加了处理 IN 参数的方法；而 CallableStatement 添加了处理 OUT 参数的方法。 有些DBMS 将已存储过程中的每条语句视为独立的语句；而另外一些则将整个过程视为一个复合语句。在启用自动提交时，这种差别就变得非常重要，因为它影响什么时候调用 commit 方法。在前一种情况中，每条语句单独提交；在后一种情况中，所有语句同时提交。 字段摘要 static int CLOSE_ALL_RESULTS 该常量指示调用 getMoreResults 时应该关闭以前一直打开的所有 ResultSet 对象。 static int CLOSE_CURRENT_RESULT 该常量指示调用 getMoreResults 时应该关闭当前 ResultSet 对象。 static int EXECUTE_FAILED 该常量指示在执行批量语句时发生错误。 static int KEEP_CURRENT_RESULT 该常量指示调用 getMoreResults 时不会关闭当前 ResultSet 对象。 static int NO_GENERATED_KEYS 该常量指示生成的键应该不可用于获取。 static int RETURN_GENERATED_KEYS 该常量指示生成的键应该可用于获取。 static int SUCCESS_NO_INFO 该常量指示批量语句执行成功但不存在受影响的可用行数计数。 方法摘要 void addBatch(String sql) 将给定的 SQL 命令添加到此 Statement 对象的当前命令列表中。 void cancel() 如果DBMS 和驱动程序都支持中止 SQL 语句，则取消此 Statement 对象。 void clearBatch() 清空此 Statement 对象的当前 SQL 命令列表。 void clearWarnings() 清除在此 Statement 对象上报告的所有警告。 void close() 立即释放此 Statement 对象的数据库和 JDBC 资源，而不是等待该对象自动关闭时发生此操作。 boolean execute(String sql) 执行给定的 SQL 语句，该语句可能返回多个结果。 boolean execute(String sql, int autoGeneratedKeys) 执行给定的 SQL 语句（该语句可能返回多个结果），并通知驱动程序所有自动生成的键都应该可用于获取。 boolean execute(String sql, int[] columnIndexes) 执行给定的 SQL 语句（该语句可能返回多个结果），并通知驱动程序在给定数组中指示的自动生成的键应该可用于获取。 boolean execute(String sql, String[] columnNames) 执行给定的 SQL 语句（该语句可能返回多个结果），并通知驱动程序在给定数组中指示的自动生成的键应该可用于获取。 int[] executeBatch() 将一批命令提交给数据库来执行，如果全部命令执行成功，则返回更新计数组成的数组。 ResultSet executeQuery(String sql) 执行给定的 SQL 语句，该语句返回单个 ResultSet 对象。 int executeUpdate(String sql) 执行给定 SQL 语句，该语句可能为 INSERT、UPDATE 或 DELETE 语句，或者不返回任何内容的 SQL 语句（如 SQL DDL 语句）。 int executeUpdate(String sql, int autoGeneratedKeys) 执行给定的 SQL 语句，并用给定标志通知驱动程序由此 Statement 生成的自动生成键是否可用于获取。 int executeUpdate(String sql, int[] columnIndexes) 执行给定的 SQL 语句，并通知驱动程序在给定数组中指示的自动生成的键应该可用于获取。 int executeUpdate(String sql, String[] columnNames) 执行给定的 SQL 语句，并通知驱动程序在给定数组中指示的自动生成的键应该可用于获取。 Connection getConnection() 获取生成此 Statement 对象的 Connection 对象。 int getFetchDirection() 获取从数据库表获取行的方向，该方向是根据此 Statement 对象生成的结果集合的默认值。 int getFetchSize() 获取结果集合的行数，该数是根据此 Statement 对象生成的 ResultSet 对象的默认获取大小。 ResultSet getGeneratedKeys() 获取由于执行此 Statement 对象而创建的所有自动生成的键。 int getMaxFieldSize() 获取可以为此 Statement 对象所生成 ResultSet 对象中的字符和二进制列值返回的最大字节数。 int getMaxRows() 获取由此 Statement 对象生成的 ResultSet 对象可以包含的最大行数。 boolean getMoreResults() 移动到此Statement 对象的下一个结果，如果其为 ResultSet 对象，则返回 true，并隐式关闭利用方法 getResultSet 获取的所有当前 ResultSet 对象。 boolean getMoreResults(int current) 将此Statement 对象移动到下一个结果，根据给定标志指定的指令处理所有当前 ResultSet 对象；如果下一个结果为 ResultSet 对象，则返回 true。 int getQueryTimeout() 获取驱动程序等待 Statement 对象执行的秒数。 ResultSet getResultSet() 以ResultSet 对象的形式获取当前结果。 int getResultSetConcurrency() 获取此 Statement 对象生成的 ResultSet 对象的结果集合并发性。 int getResultSetHoldability() 获取此 Statement 对象生成的 ResultSet 对象的结果集合可保存性。 int getResultSetType() 获取此 Statement 对象生成的 ResultSet 对象的结果集合类型。 int getUpdateCount() 以更新计数的形式获取当前结果；如果结果为 ResultSet 对象或没有更多结果，则返回 -1。 SQLWarning getWarnings() 获取此 Statement 对象上的调用报告的第一个警告。 boolean isClosed() 获取是否已关闭了此 Statement 对象。 boolean isPoolable() 返回指示 Statement 是否是可池化的值。 void setCursorName(String name) 将SQL 指针名称设置为给定的 String，后续 Statement 对象的 execute 方法将使用此字符串。 void setEscapeProcessing(boolean enable) 将转义处理设置为开或关。 void setFetchDirection(int direction) 向驱动程序提供关于方向的提示，在使用此 Statement 对象创建的 ResultSet 对象中将按该方向处理行。 void setFetchSize(int rows) 为JDBC 驱动程序提供一个提示，它提示此 Statement 生成的 ResultSet 对象需要更多行时应该从数据库获取的行数。 void setMaxFieldSize(int max) 设置此 Statement 对象生成的 ResultSet 对象中字符和二进制列值可以返回的最大字节数限制。 void setMaxRows(int max) 将此Statement 对象生成的所有 ResultSet 对象可以包含的最大行数限制设置为给定数。 void setPoolable(boolean poolable) 请求将 Statement 池化或非池化。 void setQueryTimeout(int seconds) 将驱动程序等待 Statement 对象执行的秒数设置为给定秒数。 Statement 使用案例 1、创建 Statement 对象 建立了到特定数据库的连接之后，就可用该连接发送 SQL 语句。Statement 对象用 Connection 的方法 createStatement 创建，如下列代码段中所示： Connection con = DriverManager.getConnection(url, "sunny", ""); Statement stmt = con.createStatement(); 为了执行 Statement 对象，被发送到数据库的 SQL 语句将被作为参数提供给 Statement 的方法： ResultSet rs = stmt.executeQuery("SELECT a, b, c FROM Table2"); 2、使用 Statement 对象执行语句 Statement 接口提供了三种执行 SQL 语句的方法：executeQuery、executeUpdate 和 execute。使用哪一个方法由 SQL 语句所产生的内容决定。 方法executeQuery 用于产生单个结果集的语句，例如 SELECT 语句。 方法executeUpdate 用于执行 INSERT、UPDATE 或 DELETE 语句以及 SQL DDL（数据定义语言）语句，例如 CREATE TABLE 和 DROP TABLE。INSERT、UPDATE 或 DELETE 语句的效果是修改表中零行或多行中的一列或多列。executeUpdate 的返回值是一个整数，指示受影响的行数（即更新计数）。对于 CREATE TABLE 或 DROP TABLE 等不操作行的语句，executeUpdate 的返回值总为零。 方法execute 用于执行返回多个结果集、多个更新计数或二者组合的语句。因为多数程序员不会需要该高级功能，所以本概述后面将在单独一节中对其进行介绍。 执行语句的所有方法都将关闭所调用的 Statement 对象的当前打开结果集（如果存在）。这意味着在重新执行 Statement 对象之前，需要完成对当前 ResultSet 对象的处理。 应注意，继承了 Statement 接口中所有方法的 PreparedStatement 接口都有自己的 executeQuery、executeUpdate 和 execute 方法。Statement 对象本身不包含 SQL 语句，因而必须给 Statement.execute 方法提供 SQL 语句作为参数。PreparedStatement 对象并不将 SQL 语句作为参数提供给这些方法，因为它们已经包含预编译 SQL 语句。CallableStatement 对象继承这些方法的 PreparedStatement 形式。对于这些方法的 PreparedStatement 或 CallableStatement 版本，使用查询参数将抛出 SQLException。 3、语句完成 当连接处于自动提交模式时，其中所执行的语句在完成时将自动提交或还原。语句在已执行且所有结果返回时，即认为已完成。对于返回一个结果集的 executeQuery 方法，在检索完 ResultSet 对象的所有行时该语句完成。对于方法 executeUpdate，当它执行时语句即完成。但在少数调用方法 execute 的情况中，在检索所有结果集或它生成的更新计数之后语句才完成。 4、关闭 Statement 对象 Statement 对象将由 Java 垃圾收集程序自动关闭。而作为一种好的编程风格，应在不需要 Statement 对象时显式地关闭它们。 参考技术A 　　Statement 是 Java 执行数据库操作的一个重要方法，用于在已经建立数据库连接的基础上，向数据库发送要执行的SQL语句。Statement对象，用于执行不带参数的简单SQL语句。
　　用于执行静态 SQL 语句并返回它所生成结果的对象。
　　在默认情况下，同一时间每个 Statement 对象在只能打开一个 ResultSet 对象。因此，如果读取一个 ResultSet 对象与读取另一个交叉，则这两个对象必须是由不同的 Statement 对象生成的。如果存在某个语句的打开的当前 ResultSet 对象，则 Statement 接口中的所有执行方法都会隐式关闭它。
　　Statement 对象用于将 SQL 语句发送到数据库中。实际上有三种 Statement 对象，它们都作为在给定连接上执行 SQL 语句的包容器：Statement、PreparedStatement（它从 Statement 继承而来）和 CallableStatement（它从 PreparedStatement 继承而来）。它们都专用于发送特定类型的 SQL 语句： Statement 对象用于执行不带参数的简单 SQL 语句；PreparedStatement 对象用于执行带或不带 IN 参数的预编译 SQL 语句；CallableStatement 对象用于执行对数据库已存在的存储过程的调用。
　　Statement 接口提供了执行语句和获取结果的基本方法。PreparedStatement 接口添加了处理 IN 参数的方法；而 CallableStatement 添加了处理 OUT 参数的方法。
　　有些 DBMS 将已存储过程中的每条语句视为独立的语句；而另外一些则将整个过程视为一个复合语句。在启用自动提交时，这种差别就变得非常重要，因为它影响什么时候调用 commit 方法。在前一种情况中，每条语句单独提交；在后一种情况中，所有语句同时提交。

Java中为什么用PreparedStatement而不用Statement

---恢复内容开始---

1、 PreparedStatement接口继承Statement， PreparedStatement 实例包含已编译的 SQL 语句，所以其执行速度要快于 Statement 对象。

 

2、作为 Statement 的子类，PreparedStatement 继承了 Statement 的所有功能。三种方法

      execute、 executeQuery 和 executeUpdate 已被更改以使之不再需要参数

 

　　虽然用PreparedStatement来代替Statement会使代码多出几行,但这样的代码无论从可读性还是可维护性上来说.都比直接用Statement的代码高很多档次:
　　stmt.executeUpdate("insert into tb_name (col1,col2,col2,col4) values (‘"+var1+"‘,‘"+var2+"‘,"+var3+",‘"+var4+"‘)");//stmt是Statement对象实例

　　perstmt = con.prepareStatement("insert into tb_name (col1,col2,col2,col4) values (?,?,?,?)");
　　perstmt.setString(1,var1);
　　perstmt.setString(2,var2);
　　perstmt.setString(3,var3);
　　perstmt.setString(4,var4);
　　perstmt.executeUpdate(); //prestmt是 PreparedStatement 对象实例 

　　语句在被DB的编译器编译后的执行代码被缓存下来,那么下次调用时只要是相同的预编译语句就不需要编译,只要将参数直接传入编译过的语句执行代码中(相当于一个涵数)就会得到执行.这并不是说只有一个Connection中多次执行的预编译语句被缓存,而是对于整个DB中,只要预编译的语句语法和缓存中匹配.那么在任何时候就可以不需要再次编译而可以直接执行.而statement的语句中,即使是相同一操作,而由于每次操作的数据不同所以使整个语句相匹配的机会极小,几乎不太可能匹配.比如:
insert into tb_name (col1,col2) values (‘11‘,‘22‘);
insert into tb_name (col1,col2) values (‘11‘,‘23‘);
即使是相同操作但因为数据内容不一样,所以整个个语句本身不能匹配,没有缓存语句的意义.事实是没有数据库会对普通语句编译后的执行代码缓存.

当然并不是所以预编译语句都一定会被缓存,数据库本身会用一种策略,比如使用频度等因素来决定什么时候不再缓存已有的预编译结果.以保存有更多的空间存储新的预编译语句.

 

最重要的一点是极大地提高了安全性.

即使到目前为止,仍有一些人连基本的恶义SQL语法都不知道.
String sql = "select * from tb_name where name= ‘"+varname+"‘ and passwd=‘"+varpasswd+"‘";
如果我们把[‘ or ‘1‘ = ‘1]作为varpasswd传入进来.用户名随意,看看会成为什么?

select * from tb_name = ‘随意‘ and passwd = ‘‘ or ‘1‘ = ‘1‘;
因为‘1‘=‘1‘肯定成立,所以可以任何通过验证.更有甚者:
把[‘;drop table tb_name;]作为varpasswd传入进来,则:
select * from tb_name = ‘随意‘ and passwd = ‘‘;drop table tb_name;有些数据库是不会让你成功的,但也有很多数据库就可以使这些语句得到执行.

而如果你使用预编译语句.你传入的任何内容就不会和原来的语句发生任何匹配的关系.只要全使用预编译语句,你就用不着对传入的数据做任何过虑.而如果使用普通的statement,有可能要对drop,;等做费尽心机的判断和过虑.

---恢复内容结束---