在《java使用JDBC連線MySql資料庫》中說明了JDBC連結資料庫的基本方式，其中執行SQL語句使用的是Statement介面，這裡介紹一個更好用的介面，PreparedStantment介面。

PreparedStatement是什麼？

public interface PreparedStatement extends Statement

使用方法：

Class.forName("com.mysql.jdbc.Driver");
Connection conn = DriverManager.getConnection(URL, USERNAME, PASSWORD);
String sql = "insert into person(name,age,description)values(?,?,?)"
 
;
PreparedStatement ps = conn.prepareStatement(sql);
//設定佔位符對應的值，問號是為佔位符，有幾個問號就代表要插入幾個列，這樣看來sql程式碼就比較簡潔。
ps.setString(1, p.getName());
ps.setInt(2, p.getAge());
ps.setString(3, p.getDescription());

ps.executeUpdate();

ps.close();
conn.close();

相對於Statement，PreparedStatement的特點是：引數化查詢；

優點是什麼？

1.提高程式碼的可讀性

SELECT name FROM table1 WHERE age=?
ps.setString(1, "小明");

？：佔位符

2.提高效能

  使用 PreparedStatement 最重要的一點好處是它擁有更佳的效能優勢，SQL語句會預編譯在資料庫系統中。執行計劃同樣會被快取起來，它允許資料庫做引數化查詢。使用預處理語句比普通的查詢更快，因為它做的工作更少（資料庫對SQL語句的分析，編譯，優化已經在第一次查詢前完成了）。為了減少資料庫的負載，生產環境中的JDBC程式碼你應該總是使用PreparedStatement 。值得注意的一點是：為了獲得性能上的優勢，應該使用引數化sql查詢而不是字串追加的方式

3.防止SQL注入式攻擊

什麼是SQL注入？連結

  在使用引數化查詢的情況下，資料庫系統（eg:MySQL）不會將引數的內容視為SQL指令的一部分來處理，而是在資料庫完成SQL指令的編譯後，才套用引數執行，因此就算引數中含有破壞性的指令，也不會被資料庫所執行

參考資料

1.MySQL資料庫學習筆記（九）—-JDBC的ResultSet介面（查詢操作）、PreparedStatement介面重構增刪改查（含SQL注入的解釋）: 連結

2.SQL注入攻擊 : 連結

3.JDBC為什麼要使用PreparedStatement而不是Statement：連結