请简述Statement与PreparedStatement的区别。

Statement 是一种简单的 SQL 执行对象，它能够执行静态 SQL 查询语句，但存在 SQL 注入攻击的风险。而 PreparedStatement 是一种预处理的 SQL 执行对象，可以提高 SQL 的执行效率，同时还能够防止 SQL 注入攻击。它可以将 SQL 语句和参数分开传递，使得 SQL 语句在执行前已经编译好了，避免了每次执行 SQL 时的编译开销。

相关问题

1.简述Statement和 PreparedStatement的区别

Statement和PreparedStatement都是Java中用于执行SQL语句的接口，它们的主要区别在于以下几点：

1. 预编译：PreparedStatement会在执行前将SQL语句预编译，以提高执行效率。而Statement则是在执行时才编译SQL语句，效率相对较低。

2. 可读性：PreparedStatement更易于阅读和维护，因为它的SQL语句可以使用占位符（?）来代替具体的参数值，而Statement则需要将参数值直接拼接到SQL语句中。

3. 安全性：PreparedStatement可以避免SQL注入攻击，因为它会对输入参数进行参数化处理，而Statement则容易受到SQL注入攻击。

4. 执行效率：当需要执行多次相同的SQL时，PreparedStatement比Statement执行效率更高，因为PreparedStatement只需要编译一次SQL语句，而Statement则需要每次执行时都编译一次SQL语句。

总之，如果需要执行多次相同的SQL语句，或者需要对输入参数进行参数化处理，建议使用PreparedStatement来执行SQL语句，否则使用Statement即可。

请简述Connection创建Statement的方式。]

在Java中，通常在建立数据库连接后，需要通过`Connection`对象来创建一个`Statement`对象，以便执行SQL语句。以下是创建`Statement`对象的基本步骤：

1. **获得Connection对象**：
首先，你需要从JDBC驱动获取`Connection`实例，这通常发生在应用初始化阶段，例如通过`DriverManager.getConnection()`方法或者`DataSource`提供的`getConnection()`方法。

Connection connection = DriverManager.getConnection("jdbc:mysql://localhost:3306/mydb", "username", "password");

2. **创建Statement对象**：
使用已经获取到的`Connection`对象，你可以创建一个`Statement`对象，它允许你在当前会话下执行SQL命令。有两种类型的`Statement`：
- `Statement`: 直接执行SQL，不支持预编译，可能存在SQL注入风险。
- `PreparedStatement`: 提供预编译功能，提高了安全性，并能利用批处理提高性能。

Statement statement;
try {
   statement = connection.createStatement(); // 或者 PreparedStatement preparedStatement = connection.prepareStatement("SELECT * FROM table WHERE id = ?");
} catch (SQLException e) {
   e.printStackTrace();
}

记得在操作完毕后关闭资源：

try {
    statement.close(); // 或者 preparedStatement.close()
    connection.close();
} catch (SQLException e) {
    e.printStackTrace();
}