预编译SQL：安全与性能的双重保障

预编译SQL（Prepared Statement）。这是数据库编程中一个极其重要且必须掌握的概念。

一、核心定义：一句话概括

预编译SQL是一种先将SQL语句模板发送给数据库进行编译和优化，然后将数据参数与之分离并单独传递的数据库操作技术。

简单来说，它就是 “先制定计划，再提供材料”。

二、一个生动的比喻：餐厅点餐

想象一下你去餐厅吃饭：

• 普通SQL语句（Statement）：
  你每次点餐都对服务员说一句完整的新指令：“我要一份西红柿鸡蛋盖饭”。下次点餐又说：“我要一份宫保鸡丁盖饭”。厨师每次都要完整地理解你的整条新指令再做菜。

• 预编译SQL（Prepared Statement）：
  你告诉服务员：“我要一份【XXX】盖饭”。这是一个模板。之后，你只需要说这次的材料是“宫保鸡丁”，服务员就把材料填进模板里交给厨师。厨师因为早就知道你要的是“盖饭”，所以准备起来更快。
  第二天你来，还是用同一个模板，只说材料是“鱼香肉丝”就行了。

在这个比喻中：

• SQL模板："我要一份【XXX】盖饭" → "SELECT * FROM users WHERE username = ?"
• 参数："宫保鸡丁"、"鱼香肉丝" → "admin"、"alice"
• 厨师（数据库）：提前知道了“做盖饭”的计划，所以效率更高。

三、工作原理：两步走

与普通SQL一次性执行不同，预编译SQL的工作流程清晰且高效，其核心机制如下图所示：

flowchart TD
    A[应用程序准备SQL模板] --> B[发送模板到数据库服务器]
    B --> C[数据库解析/编译/优化SQL<br>生成执行计划]
    C --> D[数据库返回一个句柄<br>“StatementID”]
    D --> E[应用程序提供参数值]
    E --> F[数据库服务器将参数与<br>已编译的计划结合并执行]
    F --> G[返回执行结果]

关键点：SQL语句的编译（解析语法、检查语义、优化执行计划）和执行是分开的。编译只做一次，但可以用不同的参数反复执行。

四、为什么需要预编译SQL？—— 两大核心优势

优势一：从根本上防止SQL注入攻击（极其重要！）

这是使用预编译SQL最首要、最安全的原因。

• SQL注入是什么：黑客通过在输入参数中拼接恶意SQL代码，来欺骗数据库执行非法的SQL语句。例如，在登录时输入 ' OR '1'='1 作为密码，可能会绕开密码验证。
• 普通Statement为何危险：因为它使用字符串拼接来构造SQL。

  // 危险！SQL注入漏洞！
  String sql = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";
  Statement stmt = conn.createStatement();
  ResultSet rs = stmt.executeQuery(sql);
  // 如果username输入: admin' --
  // 最终SQL变为: SELECT ... WHERE username = 'admin' --' AND password = '...'
  // '--' 是SQL注释，后面的密码验证被绕过了！
  

• PreparedStatement为何安全：因为参数值是在SQL编译之后才传入的，它永远不会被当作SQL代码来解析，只会被当作纯粹的数据（字符串）来处理。

  // 安全！预编译防止注入
  String sql = "SELECT * FROM users WHERE username = ? AND password = ?"; // 模板
  PreparedStatement pstmt = conn.prepareStatement(sql);
  pstmt.setString(1, username); // 设置参数1，即使username是 `admin' --`，也只是一个字符串值
  pstmt.setString(2, password); // 设置参数2
  ResultSet rs = pstmt.executeQuery();
  

优势二：大幅提升性能（特别是批量操作）

• 减少数据库编译开销：对于结构相同、仅参数不同的多次操作（如批量插入1000条数据），数据库只需要编译一次SQL模板，之后每次执行只需要传递参数即可。这节省了大量的解析和优化成本。
• 利于数据库缓存执行计划：数据库服务器可以缓存预编译后的执行计划，后续相同的模板可以直接使用缓存，进一步加快速度。

五、在Java (JDBC) 中的使用示例

对比一下使用普通 Statement 和 PreparedStatement 的代码差异。

任务：向 users 表中插入一条用户数据。

1. 使用 Statement (不推荐，不安全且低效)

String name = "Alice";
String email = "alice@example.com";

// 1. 需要繁琐的字符串拼接，容易出错且危险
String sql = "INSERT INTO users (name, email) VALUES ('" + name + "', '" + email + "')";

Statement stmt = conn.createStatement();
// 2. 每次执行，数据库都需要完整编译这条SQL
stmt.executeUpdate(sql);

2. 使用 PreparedStatement (推荐，安全且高效)

String name = "Alice";
String email = "alice@example.com";

// 1. 使用 ? 作为参数占位符，清晰且无拼接
String sql = "INSERT INTO users (name, email) VALUES (?, ?)";

// 2. 提前将SQL模板发送给数据库进行预编译
PreparedStatement pstmt = conn.prepareStatement(sql);

// 3. 设置参数（指定参数位置和值）
pstmt.setString(1, name); // 第一个问号替换为 name
pstmt.setString(2, email); // 第二个问号替换为 email

// 4. 执行（数据库使用编译好的计划，结合参数运行）
pstmt.executeUpdate();

// 5. 如果想再次插入，只需重置参数即可，无需重新编译
pstmt.setString(1, "Bob");
pstmt.setString(2, "bob@example.com");
pstmt.executeUpdate(); // 效率极高！

六、在MyBatis中的体现

如果你使用MyBatis这样的ORM框架，你其实每天都在用预编译SQL，只是它帮你封装好了。MyBatis中的 #{} 语法就是预编译参数的标志。

<!-- MyBatis 映射文件 -->
<insert id="insertUser">
  INSERT INTO users (name, email) VALUES (#{name}, #{email})
  <!-- MyBatis在底层会将其转换为 `PreparedStatement` 的 `?` -->
  <!-- 最终执行的SQL是预编译的，安全 -->
</insert>

而 ${} 是简单的字符串替换，有SQL注入风险，应谨慎使用。

ORDER BY ${columnName}
<!-- 仅用于动态指定列名等非用户输入参数的地方 -->

总结

结论：在现代数据库编程中，只要SQL语句中包含了变量参数，就必须使用预编译SQL（PreparedStatement）。 这不仅是提升性能的最佳实践，更是编写安全、可靠应用程序的安全底线。