javaweb中Statement， PreparedStatement， CallableStatement的区别

在Java Web开发中，Statement、PreparedStatement和CallableStatement都是用于执行SQL操作的对象，但它们的主要区别在于处理参数的方式、性能优化以及安全性：

1. Statement:
- 基本类型：Statement是最基础的SQL执行工具，它可以用来执行所有的SQL语句（如SELECT, INSERT, UPDATE等）。
- 参数处理：不支持预编译，当你调用executeQuery()或executeUpdate()方法时，如果包含动态参数，每次都会创建一个新的Statement对象，这可能导致SQL注入风险，并且效率较低。
- 性能：由于频繁的内存分配和SQL解析，对于大量数据操作，性能不如后两者。

2. PreparedStatement:
- 预编译：PreparedStatement预先编译了SQL语句，使用时可以通过setXXX()方法绑定参数，然后执行一次就可以多次重用，提高了性能并防止SQL注入。
- 参数绑定：支持占位符（?，?)，将参数值按顺序设置到这些位置，SQL语句不变，提高了代码的安全性和可维护性。
- 可重复使用：适用于需要多次执行相同SQL语句的情况。

3. CallableStatement:
- 类型扩展：CallableStatement是PreparedStatement的子类，专门用于存储过程或函数调用，支持返回结果集和 OUT 参数。
- 函数调用：它的executeCall()方法可以执行存储过程，除了接收IN参数外，还能处理OUT参数和表结果集。
- 异常处理：通常用于复杂的数据库操作，因为它提供了对异常结果的更精细控制。