使用预编译语句是预防SQL注入的最佳方式

sql预编译 定义 sql 预编译指的是数据库驱动在发送 sql 语句和参数给 DBMS 以前对 sql 语句进行编译，这样 DBMS 执行 sql 时，就不须要从新编译。sql 为何须要预编译 JDBC 中使用对象 PreparedStatement 来抽象预编译语句，使用预编译数据库 预编译阶段能够优化 sql 的执行。缓存 预编译以后的 sql 多数状况下能够直接执行，DBMS 不须要再次编

>>阅读原文<<