[Statement VS Prepared Statement]

Statement 와 Prepared Statement
- SQL을 실행할 수 있는 객체이다.
-  가장 큰 차이점은 캐시 사용여부이다.

 

 

1) SQL 실행 단계

(1) 쿼리 문장 분석

(2) 컴파일

(3) 실행

 

Statement

 

String sqlstr = "SELECT name, memo FROM TABLE WHERE name = " + num
Statement stmt = conn.credateStatement();
ResultSet rst = stmt.executeQuery(sqlstr);

- 쿼리문을 수행할 때마다 SQL 실행 단계 1) ~ 3)의 과정을 거침

- SQL문을 수행하는 과정에서 매번 컴파일을 하게 때문에 성능상 이슈 발생

- 실행되는 SQL 문을 확인 가능

 

사용해야할 때 
(1) Dynamic SQL
- 매번 조건절이 틀려지게 되므로, 캐싱의 장점을 잃어버림

 

Prepared Statement

 

String sqlstr ="SELECT name, memo FROM TABLE WHERE num = ?"
PreparedStatement stmt = conn.preparedStatement(); stmt.setInt(1, num);
ResultSet rst = stmt.executeQuery(sqlstr);

- 컴파일이 미리 되어있기 때문에 Statement에 비해 좋은 성능

- 특수 문자를 자동으로 파싱해주기 때문에 SQL Injection 같은 공격을 막을 수 있음

- '?' 부분에만 변화를 주어 쿼리문을 수행하므로 실행되는 SQL문을 파악하기 어려움

 

사용해야할 때 
(1) 사용자 입력값으로 쿼리문을 실행하는 경우
- 특수 기호가 들어오더라도 알아서 파싱해주므로 이로인한 에러를 막을 수 있음

 

 

 

출처

 

https://dheldh77.tistory.com/entry/%EB%8D%B0%EC%9D%B4%ED%84%B0%EB%B2%A0%EC%9D%B4%EC%8A%A4-Statement%EC%99%80-Prepared-Statement