PreparedStatement 最佳實踐：告別手動 SQL 拼接，提升安全與性能

Statement 的痛點

• 日期/時間格式需手動適配資料庫（'2002-02-05 20:56' vs '02/05/02 8:56 PM'）
• 字符串拼接易導致 SQL 注入
• 每次執行都需重新解析、編譯 SQL，無法利用緩存

PreparedStatement 核心優勢

1. 參數化查詢，自動處理類型轉換

String sql = "SELECT * FROM People WHERE id = ? AND name = ?";
PreparedStatement ps = conn.prepareStatement(sql);
ps.setInt(1, id);
ps.setString(2, name);
ResultSet rs = ps.executeQuery();

• JDBC 驅動根據參數類型自動生成資料庫認可的字面值
• 徹底消除日期格式、字符串轉義、NULL 處理等煩惱

2. 預編譯緩存，性能提升

• SQL 模板發送給資料庫一次，後續僅傳參數
• 資料庫可緩存執行計劃，減少解析/優化開銷
• 批量操作（addBatch()/executeBatch()）效果更顯著

3. 資料庫無關性

• SQL 中無具體字面值，避免方言差異（如 Oracle TO_DATE vs MySQL STR_TO_DATE）
• 遷移資料庫時僅需換驅動與連接串，業務 SQL 不動

何時仍用 Statement？

• 純靜態 SQL，無任何參數（極少見）
• 極端性能敏感且確認無注入風險的 DDL（CREATE TABLE 等）

總結

預設選 PreparedStatement。只有明確證明 Statement 有優勢時才用 Statement。安全、性能、可維護性三贏。