1

Quais problemas podem acontecer caso eu utilize o Statement ao invés do PreparedStatement na conexão JDBC ao banco de dados

//Código usando PreparedStatement, setando os valores da query através de métodos

    Connection con = null;
    PreparedStatement ps = null;
    ResultSet rs = null;
    String query = "SELECT * FROM exemplo WHERE coluna1 = ? AND coluna2 = ?";
    try {
        con = DBConnection.getConnection();
        ps = con.prepareStatement(query);

        ps.setString(1, valorExemplo1);
        ps.setString(2, valorExemplo2);
        rs = ps.executeQuery();

//Código usando Statement, concatenando os valores das variáveis à query

        Connection con = null;
        Statement stmt = null;
        ResultSet rs = null;
        String query = "SELECT * FROM exemplo WHERE coluna1 = '"+valorExemplo1+"'  
                        AND  coluna2 = '"+valorExemplo2+"';
        try{
            con = DBConnection.getConnection();
            stmt = con.createStatement();
            rs = stmt.executeQuery(query);
1
  • 1
    Isso serve prevenir ataques de SQL Injection <- esta pergunta é sobre C#, mas a ideia é a mesma
    – hkotsubo
    Commented 19/03/2019 às 19:42

1 Resposta 1

1

Boa Tarde Tudo bem?

A diferença está na velocidade, facilidade de manutenção e segurança da informação entre os objetos.

Quando você utiliza o Statement, tem todo o processamento desta declaração para ser processada no banco, o que demora um pouco mais de tempo, porem não é tão nítido com um volume baixo, o código não fica tão legível e você está passando sua declaração "toda em aberto".

"SELECT * FROM exemplo WHERE coluna1 = '"+valorExemplo1+"' AND  coluna2 = '"+valorExemplo2+"';

Para alguém interceptar seu código, fazer injeção de SQL é mais fácil, está mais vulnerável.

Quando você usa o PreparedStatement, você já preparou toda a declaração, o que fica mais rápido para processar no banco, você tem a legibilidade e uma manutenção no código, visto que em grande parte dos casos os getters e setters são utilizados e você tem uma isenção desta vulnerabilidade (injeção de SQL), seu comando SQL só é "construída" depois, dificulta na interceptação.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .