Какие плюсы и минусы PreparedStatement?

Плюсы и минусы PreparedStatement

PreparedStatement — это интерфейс в Java для выполнения параметризованных SQL запросов. Это предкомпилированное SQL выражение, которое может быть использовано повторно с разными параметрами.

Что такое PreparedStatement?

Представьте, что обычный Statement компилирует SQL на лету каждый раз, а PreparedStatement заранее компилирует template SQL с плейсхолдерами (?) и подставляет параметры значения при выполнении.

Statement statement = connection.createStatement();
String sql = "SELECT * FROM users WHERE id = " + userId;
ResultSet rs = statement.executeQuery(sql);

String sql = "SELECT * FROM users WHERE id = ?";
PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setInt(1, userId);
ResultSet rs = pstmt.executeQuery();

ПЛЮСЫ PreparedStatement

1. Защита от SQL Injection (КРИТИЧНЫЙ ПЛЮС)

Это главное преимущество. SQL Injection — один из самых опасных типов атак.

String userId = "1 OR 1=1";
String sql = "SELECT * FROM users WHERE id = " + userId;
// Результирующий SQL: SELECT * FROM users WHERE id = 1 OR 1=1
// Это вернёт ВСЕ пользователей!

String userId = "1 OR 1=1";
String sql = "SELECT * FROM users WHERE id = ?";
PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setInt(1, Integer.parseInt(userId));
// Ошибка парсинга, но БД защищена

2. Производительность при повторном использовании

PreparedStatement кэшируется на стороне БД. При повторном использовании SQL не компилируется заново.

for (int userId : userIds) {
    String sql = "SELECT * FROM users WHERE id = " + userId;
    Statement stmt = connection.createStatement();
    ResultSet rs = stmt.executeQuery(sql);
}

String sql = "SELECT * FROM users WHERE id = ?";
PreparedStatement pstmt = connection.prepareStatement(sql);
for (int userId : userIds) {
    pstmt.setInt(1, userId);
    ResultSet rs = pstmt.executeQuery();
}
pstmt.close();

3. Лучшая читаемость кода

SQL отделяется от параметров, код более чистый.

String sql = "INSERT INTO orders (u_id, p_id, qty, price) VALUES (" + u + ", " + p + ", " + q + ", " + pr + ")";

String sql = "INSERT INTO orders (u_id, p_id, qty, price) VALUES (?, ?, ?, ?)";
PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setInt(1, u);
pstmt.setInt(2, p);
pstmt.setInt(3, q);
pstmt.setDouble(4, pr);
pstmt.executeUpdate();

4. Типобезопасность

Правильный тип данных автоматически устанавливается.

PreparedStatement pstmt = connection.prepareStatement("INSERT INTO products (name, price, qty) VALUES (?, ?, ?)");
pstmt.setString(1, "Laptop");
pstmt.setDouble(2, 999.99);
pstmt.setInt(3, 5);
pstmt.executeUpdate();

5. Поддержка batch операций

Можно собрать несколько команд и выполнить их вместе.

String sql = "INSERT INTO users (name, email) VALUES (?, ?)";
PreparedStatement pstmt = connection.prepareStatement(sql);

for (User user : users) {
    pstmt.setString(1, user.getName());
    pstmt.setString(2, user.getEmail());
    pstmt.addBatch();
}

int[] result = pstmt.executeBatch();
pstmt.close();

6. Правильная обработка специальных символов

Процедуры подготовки автоматически экранируют специальные символы.

String name = "O'Reilly";

String sql = "INSERT INTO authors (name) VALUES ('" + name + "')";
// Ошибка!

String sql = "INSERT INTO authors (name) VALUES (?)";
PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setString(1, name);
pstmt.executeUpdate();

МИНУСЫ PreparedStatement

1. Небольшая overhead памяти и процессора

Создание PreparedStatement требует дополнительных ресурсов.

String sql = "SELECT COUNT(*) FROM users";
Statement stmt = connection.createStatement();
ResultSet rs = stmt.executeQuery(sql);

PreparedStatement pstmt = connection.prepareStatement(sql);
ResultSet rs = pstmt.executeQuery();

Однако эта overhead минимальна (микросекунды).

2. Сложнее работать с динамичным SQL

Некоторые аспекты SQL (ORDER BY, column names) нельзя параметризовать.

String sql = "SELECT * FROM users WHERE name = ?";
PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setString(1, userName);

String orderColumn = "name";
String sql = "SELECT * FROM users ORDER BY " + orderColumn;

3. Кривая обучения

Для новичков требуется понимание параметризации и типов данных.

PreparedStatement pstmt = connection.prepareStatement("SELECT * FROM users WHERE id = ?");
pstmt.setString(1, "123");
pstmt.setInt(1, 123);

4. Проблемы с NULL значениями

Нужно явно обрабатывать NULL.

Integer customerId = null;
String sql = "SELECT * FROM orders WHERE customer_id = ?";
PreparedStatement pstmt = connection.prepareStatement(sql);

if (customerId == null) {
    pstmt.setNull(1, Types.INTEGER);
} else {
    pstmt.setInt(1, customerId);
}

5. Ограничения с DDL операциями

Некоторые БД не поддерживают PreparedStatement для DDL.

String sql = "INSERT INTO users (name) VALUES (?)";
PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setString(1, "John");
pstmt.executeUpdate();

String sql = "CREATE TABLE users (id INT PRIMARY KEY)";
Statement stmt = connection.createStatement();
stmt.execute(sql);

Таблица сравнения: Statement vs PreparedStatement

Пример: Правильное использование PreparedStatement

public class UserRepository {
    private Connection connection;
    
    public void saveUser(User user) throws SQLException {
        String sql = "INSERT INTO users (name, email, age) VALUES (?, ?, ?)";
        try (PreparedStatement pstmt = connection.prepareStatement(sql)) {
            pstmt.setString(1, user.getName());
            pstmt.setString(2, user.getEmail());
            pstmt.setInt(3, user.getAge());
            pstmt.executeUpdate();
        }
    }
    
    public User findById(int id) throws SQLException {
        String sql = "SELECT * FROM users WHERE id = ?";
        try (PreparedStatement pstmt = connection.prepareStatement(sql)) {
            pstmt.setInt(1, id);
            ResultSet rs = pstmt.executeQuery();
            if (rs.next()) {
                return new User(rs.getInt("id"), rs.getString("name"), 
                               rs.getString("email"), rs.getInt("age"));
            }
        }
        return null;
    }
}

Когда использовать PreparedStatement

ВСЕГДА используй для:

• Запросов с пользовательским вводом (защита от injection)
• Повторяющихся запросов (производительность)
• Производственного кода
• Batch операций

Можно использовать Statement только для:

• Простых запросов без параметров
• Разовых DDL операций (CREATE, ALTER)
• Запросов, которые не содержат пользовательский ввод

Заключение

PreparedStatement — это стандарт в профессиональной Java разработке. Главное преимущество — защита от SQL Injection и лучшая производительность. Минусы минимальны. Всегда используй PreparedStatement для production кода.