前兩章我們寫了一個 DBTools 工具類，可以進行簡單的資料庫操作，但是有很大的侷限性，今天就來改善一下這個類，學習一個新的物件 PreparedStatement

1. 為什麼要使用PreparedStatement
   前面我們建立了一個store資料庫，並且建立了一個user資料表，表裡包含欄位 id ，account ，password ，role。而且還向裡面加入了一條資料 sql 語句是這樣寫的

INSERT INTO store.user (account,password,role) VALUES ('admin','123',1)

我直接把欄位的值直接寫在了sql語句裡，不過通常情況下，(‘admin’,’123’,1) 這裡面都是一些變數，為了方便，我們會建立一個實體類，來對應相應的資料庫表，現在新建一個 user 實體類

package com.jiaoshou.domain;

public class User {

    //使用者的ID
    private int id;
    //使用者名稱
    private String account;
    //密碼
    private String password;
    //使用者角色
    private int role;

    //無參構造
    public User() {
        super();
    }

    //有參構造
    public User(int id, String account, String password, int
 
 role) {
        super();
        this.id = id;
        this.account = account;
        this.password = password;
        this.role = role;
    }

    public int getId() {
        return id;
    }

    public void setId(int id) {
        this.id = id;
    }

    public String getAccount() {
        return
 
 account;
    }

    public void setAccount(String account) {
        this.account = account;
    }

    public String getPassword() {
        return password;
    }

    public void setPassword(String password) {
        this.password = password;
    }

    public int getRole() {
        return role;
    }

    public void setRole(int role) {
        this.role = role;
    }
}

假設現在又一個 user 實體，裡面封裝了我們需要的資料，我們要把這個 user 插入資料庫中，sql 語句就變成了

"INSERT INTO store.user (account,password,role) VALUES ("
                + user.getAccount() + ",'" 
                + user.getPassword() + "',"
                + user.getRole() + ")";

由於我們要在 sql 語句中加入變數，所以我們不得不拼接字串，這種方式麻煩,效率低,容易出錯,安全性不高，PreparedStatement 物件就可以解決以上的問題。

2. 如何使用 PreparedStatement

使用 PreparedStatement 物件操作資料庫可以分為一下幾步

1. 獲取資料庫連線

2. 寫sql語句，設定佔位符，用 ？代替變數

3. 建立PreparedStatement物件

4. 為佔位符進行賦值

5. 執行操作

6. 釋放資源

下面我們就把上面提到的那個 user 使用PreparedStatement物件插入資料庫

@Test
    public void insertUsers() throws SQLException {
        User user = new User(2,"master","123",2);
        //獲取資料庫連線
        Connection conn = DBTools.getConnection();
        //寫sql語句，設定佔位符，用 ？代替變數
        String sql = "INSERT INTO store.user (account,password,role) VALUES (?,?,?)";
        //建立 PreparedStatement 物件
        PreparedStatement preparedStatement = conn.prepareStatement(sql);
        //為佔位符進行賦值
        preparedStatement.setString(1,user.getAccount());//第一個引數是第幾個佔位符，第二個引數是為這個佔位符進行賦值
        preparedStatement.setString(2,user.getPassword());
        preparedStatement.setInt(3,user.getRole());
        //執行操作
        preparedStatement.executeUpdate();
        //釋放資源
        DBTools.release(null, null, conn);
    }

測試一下這個類。其他的delete update 方法也一樣

我們先前寫了一個通用的更新方法 update(String sql)，很明顯我們不能只把這裡帶有佔位符的 sql 語句傳過去，還需要佔位符對應的值，所以要對前面的那個方法進行改進。這樣的話 update 方法就需要兩個形式引數，一個是帶有佔位符的 sql 語句，另一個是佔位符 對應的值。不過不同的 sql 語句佔位符的個數也是不同的，所以我們要用到可變引數 Object...args

方法改進如下：

//通用的更新方法
    public static void update(String sql,Object...args){
        Connection conn = null;
        PreparedStatement preparedStatement = null;
        try {
            //獲取資料庫連線
            conn = DBTools.getConnection();
            //建立PreparedStatement物件
            preparedStatement = conn.prepareStatement(sql);
            //通過迴圈來給sql的佔位符賦值
            for(int i=0;i<=args.length-1;i++){
                preparedStatement.setObject(i+1, args[i]);
            }
            //執行更新操作
            preparedStatement.executeUpdate();
        } catch (Exception e) {
            e.printStackTrace();
        }finally{
            release(null,null,conn);
        }
    }

測試一下這個通用方法，改一下 使用者名稱為 master 的密碼

@Test
    public void updatePasswd() {
        User user = new User();
        user.setAccount("master");
        user.setPassword("jiaoshou");
        user.setRole(1);
        String sql = "UPDATE store.user SET password=?, role=? WHERE account=?";
        DBTools.update(sql, user.getPassword(),user.getRole(),user.getAccount());
    }

測試一下，OK！！

下一章我們會對我們的查詢方法進行升級