1. JDBC Statement基础入门刚接触JDBC时Statement是我最早学会使用的接口。记得第一次用它执行SQL查询时那种直接从Java代码操作数据库的兴奋感至今难忘。Statement就像是Java程序与数据库之间的传话筒负责把我们的SQL语句原封不动地传递给数据库执行。创建Statement对象非常简单只需要从Connection对象中获取即可。我习惯用try-with-resources语法这样不用手动关闭资源既安全又省心try (Connection conn DriverManager.getConnection(url, user, pass); Statement stmt conn.createStatement()) { // 在这里执行SQL操作 } catch (SQLException e) { e.printStackTrace(); }Statement最常用的三个方法是executeQuery()执行SELECT查询返回ResultSetexecuteUpdate()执行INSERT/UPDATE/DELETE返回受影响行数execute()通用执行方法适合不确定SQL类型的情况举个例子查询员工表可以这样写String sql SELECT id, name, salary FROM employees; ResultSet rs stmt.executeQuery(sql); while (rs.next()) { System.out.println(rs.getInt(id) , rs.getString(name) , rs.getDouble(salary)); }而插入数据则是String sql INSERT INTO employees(name, salary) VALUES(张三, 8000); int affectedRows stmt.executeUpdate(sql); System.out.println(插入了 affectedRows 条记录);2. Statement与PreparedStatement的深度对比在实际项目中我发现Statement和PreparedStatement的差异远比想象中重要。记得有一次代码审查同事指出我的Statement使用存在安全隐患这才让我真正重视起两者的区别。性能方面PreparedStatement有明显优势。它采用预编译机制SQL语句只需编译一次后续执行时直接使用编译好的执行计划。而Statement每次执行都需要重新编译SQL。当需要反复执行相似SQL时比如批量插入PreparedStatement的性能优势可以达到数倍。安全性方面PreparedStatement天然防止SQL注入。来看个典型例子// 危险可能被SQL注入 String name request.getParameter(name); String sql SELECT * FROM users WHERE name name ; Statement stmt conn.createStatement(); stmt.executeQuery(sql); // 安全的PreparedStatement写法 String sql SELECT * FROM users WHERE name?; PreparedStatement pstmt conn.prepareStatement(sql); pstmt.setString(1, name); pstmt.executeQuery();如果用户输入的name是 OR 11Statement方式会导致查询出所有用户数据而PreparedStatement则会把整个字符串当作普通值处理。适用场景对比特性StatementPreparedStatementSQL预编译每次执行都编译预编译后重复使用参数绑定不支持支持?占位符防SQL注入不安全安全批量操作性能较差优秀适用场景DDL语句、临时查询参数化查询、批量操作3. Statement的高阶用法与性能优化虽然PreparedStatement在很多场景下更优秀但Statement依然有其用武之地。特别是在处理动态SQL时Statement的灵活性无可替代。动态表名查询是一个典型场景。假设我们需要根据用户选择查询不同的表public ResultSet queryTable(String tableName, String condition) throws SQLException { String sql SELECT * FROM tableName WHERE condition; try (Statement stmt conn.createStatement()) { return stmt.executeQuery(sql); } }批量操作也可以通过Statement实现虽然效率不如PreparedStatementStatement stmt conn.createStatement(); conn.setAutoCommit(false); // 关闭自动提交 stmt.addBatch(INSERT INTO logs VALUES(2023-01-01, INFO, 系统启动)); stmt.addBatch(UPDATE counters SET valuevalue1 WHERE namevisits); stmt.addBatch(DELETE FROM temp_data WHERE create_time NOW()-INTERVAL 1 DAY); int[] results stmt.executeBatch(); conn.commit(); // 手动提交事务性能优化技巧合理设置fetchSize对于大数据量查询增大fetchSize可以减少网络往返Statement stmt conn.createStatement(); stmt.setFetchSize(1000); // 每次从数据库获取1000条使用Statement.setQueryTimeout()设置超时避免长时间运行的查询拖垮系统对于只读查询可以指定结果集类型为TYPE_FORWARD_ONLY和CONCUR_READ_ONLYStatement stmt conn.createStatement( ResultSet.TYPE_FORWARD_ONLY, ResultSet.CONCUR_READ_ONLY);4. 安全实践与防注入方案在一次安全审计中我发现一个老系统因为大量使用Statement拼接SQL导致多个注入漏洞。这让我深刻认识到SQL安全的重要性。常见的危险写法// 1. 直接拼接用户输入 String userInput request.getParameter(orderId); String sql DELETE FROM orders WHERE id userInput; // 2. 不安全的like查询 String keyword request.getParameter(keyword); String sql SELECT * FROM products WHERE name LIKE % keyword %; // 3. 动态排序条件 String sort request.getParameter(sort); String sql SELECT * FROM users ORDER BY sort;安全加固方案白名单校验对于表名、列名等无法参数化的部分采用白名单验证private static final SetString ALLOWED_SORT_COLUMNS Set.of(id, name, create_time); public String validateSortColumn(String input) { return ALLOWED_SORT_COLUMNS.contains(input) ? input : id; }转义特殊字符当必须使用Statement时对用户输入进行转义String safeKeyword keyword.replace(, ); String sql SELECT * FROM posts WHERE content LIKE % safeKeyword %;最小权限原则数据库用户只赋予必要权限避免使用高权限账号日志记录记录所有SQL操作便于审计String sql UPDATE account SET balancebalance-? WHERE id?; logger.info(执行转账SQL: {}, 参数: {}, {}, sql, amount, accountId);对于新项目我强烈建议默认使用PreparedStatement。只有在处理动态表名、列名等无法参数化的场景且确保安全的情况下才考虑使用Statement。