编译好的预准备语句是存储在对象中还是一般情况下？
编译好的预准备语句一般情况下是存储在数据库服务器中的。预准备语句是指在执行SQL语句之前，数据库系统会对SQL语句进行解析、优化和编译，生成一个可执行的执行计划。这个执行计划会被存储在数据库服务器的内存中，以便在后续的执行过程中直接使用，提高执行效率。
存储预准备语句在数据库服务器中的优势是：
- 提高执行效率：由于预准备语句已经经过编译和优化，数据库服务器可以直接使用执行计划，避免了每次执行SQL语句都需要重新解析和优化的开销，从而提高了执行效率。
- 减少网络传输：预准备语句只需要在客户端发送一次，之后可以多次执行，减少了重复传输SQL语句的网络开销。
- 防止SQL注入攻击：预准备语句可以使用参数化查询，将参数与SQL语句分离，有效防止了SQL注入攻击。
在腾讯云的数据库产品中，可以使用云数据库MySQL、云数据库MariaDB、云数据库SQL Server等来存储和执行预准备语句。这些产品提供了高性能、高可用的数据库服务，可以满足各种应用场景的需求。
更多关于腾讯云数据库产品的信息，请参考以下链接：
- 云数据库MySQL：https://cloud.tencent.com/product/cdb_mysql
- 云数据库MariaDB：https://cloud.tencent.com/product/cdb_mariadb
- 云数据库SQL Server：https://cloud.tencent.com/product/cdb_sqlserver
相关·内容
我制作了一个java类，它运行在自己的线程中，通过mysql查询队列来工作，这样它就不会阻塞主应用程序线程。我想使用预准备语句，但是如果我一直重复使用同一预准备语句，那么如果队列中有两个或更多相同的预准备语句(我对该类型的每个查询使用相同的preparedstatement对象)，那么它将具有错误的参数。如果我每次都创建一个新的prepared语句，它会在每次运行时重新编译准备好的语句，还是会检测到它已经编译并直接执行？
浏览 2提问于2011-11-15得票数 1
回答已采纳
3回答
我已经获得了对预准备语句的基本理解，并且我知道它们可以防止SQL注入攻击。但我还不明白为什么它们可以防御上述攻击。我知道也有类似的问题被问到，但我发现答案并不完全令人满意。
示例-非常不安全的代码
因此，这里我们有最基本的方式与我们的数据库通信：
$query = "SELECT * FROM users where id=$username";
在没有任何保护的情况下，用户可以输入恶意代码，从而“欺骗”数据库引擎执行破坏性查询：
$username = "1; DROP TABLE users;"
SELECT * FROM users where id=1;
浏览 0提问于2012-06-27得票数 0
回答已采纳
当在存储过程中使用预准备语句时，是否应该在过程结束时释放它们，或者这无关紧要，为什么？
下面是一些代码来解释：
CREATE PROCEDURE getCompanyByName (IN name VARCHAR(100))
NOT DETERMINISTIC
BEGIN
PREPARE gcbnStatement FROM 'SELECT * FROM Companies WHERE name=? LIMIT 1';
SET @companyName = name;
EXECUTE gcbnStatement USING @companyName;
DEALL
浏览 1提问于2009-07-22得票数 8
回答已采纳
我最近开始在web应用程序中再次使用预准备语句，我知道不鼓励对所有事务使用预准备语句。我不知道的是什么时候使用预准备语句最好。
我读过什么时候使用它们，什么时候不使用它们，但没有一个例子真正告诉我使用它们的最佳实践。
我正在尝试弄清楚哪些数据库调用应该使用它们，哪些不应该。
例如，在下面的页面上，MySQL网站在“何时使用预准备语句”中提到了它
浏览 11提问于2010-08-02得票数 2
回答已采纳
1回答
我在stackoverflow和google中搜索了一种方法，以保护PHP中的登录身份验证免受SQL注入的影响。我在MySQL中有一个表，其中包含用户的用户名和密码(我手动添加它们，而不是让用户自由注册)。在访问表之前，首先要确保用户输入的用户名或密码不包含SQL脚本。我可以简单地检查用户名或密码是否只包含字母和数字吗？如果是这样，什么脚本会检查用户名是否只包含字母和数字？我知道如何检查是全是字母还是全是数字，但我想检查它们是字母还是数字的混合。话虽如此，我还是有点担心在用户名或密码中不包含特殊字符会使身份验证更容易受到攻击。
可以强制用户名和密码中包含特殊字符吗？有没有一种方法可以在允许特殊
浏览 3提问于2015-08-26得票数 2
默认情况下，参数语句treshold设置为5，而不是1。也就是说，
((PGStatement) my_statement).getPrepareThreshold()
默认情况下始终返回5。
这是什么原因呢？为什么我不想在前4次执行查询时使用服务器端预准备语句？我不明白为什么我要将它设置为1以外的另一个值，以及为什么它不是默认设置为1。
你能解释一下吗？非常感谢。
浏览 2提问于2011-11-12得票数 4
回答已采纳
我正在开发一个工具，允许Python开发人员编写pythonic代码来与sqlite3数据库交互，类似于sqlalchemy，但没有“转换”阶段。如果我可以生成一个sqlite3准备语句，我如何直接将它传递给评估系统？
作为一个粗略的例子，下面是我粗略地看到用户能够与我的工具交互的方式：
myTable = Table("field1", "field2", "field3")
mytable.insert("foo", "bar", "baz")
select = mytable.select(&
浏览 2提问于2020-11-08得票数 0
回答已采纳
我对执行select查询的这些方法感到困惑，有谁可以帮助区分这些方法，并解释这些方法中哪一个更好。
第一种方法
$stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?');
$stmt->bind_param('s', $name);
$stmt->execute();
$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
// do something w
浏览 2提问于2016-11-18得票数 0
1回答
我对php和mysql有些陌生。我看了很多关于准备好的语句的帖子，似乎找不到我的确切场景。
在这种情况下，我应该使用预准备语句吗？我正在使用基于日期范围的查询创建记录的FPDF报告。当我显示每一行数据时，我在" While“语句中有另一个查询，该查询拉取与该特定记录相关联的用户名数据，因为"usernameID”字段通过另一个表中的外键拉取数据。由于此内部查询在页面完成加载之前被多次调用，因此它是否应该是预准备语句？
我知道我可以在某些情况下对这些表进行内部连接，但我只是在询问如何更好地理解已准备好的语句。这就是它的用途，或者它们是否应该用于会话中频繁使用的查询。
我猜我想说的
浏览 2提问于2014-02-27得票数 1
当我们使用ActiveRecord时，我们可以使用：
User.find(:first, :conditions=>["name=?", name])
看起来ActiveRecord使用的是“准备好的语句”，但仔细查看代码后，我发现ActiveRecord只是使用String.dup和connection.quote()来调整内容来构建一个sql，而不是像Java那样。
那么，raiils中没有真正的prepared statment吗？为什么rails不提供它呢？
浏览 2提问于2010-06-21得票数 3
回答已采纳
存储过程和预准备语句之间的区别是什么？哪一个更好，为什么...！！我试着在谷歌上搜索它，但没有更好的文章...
浏览 0提问于2011-09-04得票数 47
回答已采纳
我知道，在第一次使用时，jdbc会将编译好的预准备语句保存在某个地方，以便下次以更有效的方式访问它。
现在，假设我有这样的情况：
public class MyDao{
public void doQuery(){
try(PreparedStatement stmt = connection.prepareStatement(MY_STMT)){
}
}
}
以下两个代码片段都会将编译后的预准备语句保存在内存中吗？
代码片段1：
MyDao dao = new MyDao();
dao.doQuery(); //
浏览 20提问于2017-01-19得票数 1
回答已采纳
5回答
我读了很多关于准备好的语句的文章，但在我读过的所有文章中，都没有人谈论使用它们的缺点。因此，我想知道是否有任何“有龙”的地方，人们倾向于忽略？
浏览 0提问于2009-09-01得票数 13
回答已采纳
1回答
我在c++应用程序中大量使用预准备语句。我遇到的问题是，当mysql查询抛出错误(即外键约束)时，
我希望以某种方式能够获得该查询，以便我可以调试。下面是来自MysqlWrapper.cpp的一个小代码示例(这是我编写的一个包装C++驱动程序的类)
long MysqlWrapper::Insert(sql::PreparedStatement *stmt)
{
try
{
stmt->execute();
...
//return inserted id
浏览 3提问于2013-07-20得票数 3
1回答
我们在Cassandra 3.0数据库中一次插入数百万条记录。问题是:什么性能最好:使用映射器(将我们的对象注释为'JPA‘样式)还是使用预准备语句，这将只准备一次，然后为每次插入绑定。我在这里读到，映射器在后台执行隐式的预准备语句，因此性能应该没有差异。但我不明白他应该把那份事先准备好的声明放在哪里？还是为每个insert都这样做，这样就失去了执行预准备语句的优势。那么问题是: mapper (jpa风格)还是preparedStatement (JDBC风格:-)？
浏览 0提问于2018-06-27得票数 3
我正在尝试建立一个while循环，它使用Java驱动程序将多行插入到MySQL表中。我的想法是，我以这样一句话结束：
INSERT INTO table (column1, column2) VALUES (column1, column2), (column1, column2);
我希望使用java.sql.PreparedStatement设置该语句，但我希望准备语句的一小部分，一次一行-主要是因为条目的数量将是动态的，而这似乎是创建一个大型查询的最佳方式。
这需要在每次生成另一个块时将小部分“合并”在一起。如何将这些合并在一起？或者，您会建议忘记这个想法，简单地一次执行成千上万条INS
浏览 2提问于2012-04-05得票数 1
回答已采纳
10回答
所以我一直听说PreparedStatements对性能有好处。
我们有一个Java应用程序，在其中我们使用常规的“Statement”而不是“PreparedStatement”。在尝试使用更多PreparedStatements的同时，我也试图更彻底地理解PreparedStatements是如何工作的--在客户端和服务器端。
因此，如果我们有一些典型的CRUD操作，并且在应用程序中重复更新对象，那么使用PS是否有帮助？我知道我们每次都要关闭PS，否则会导致游标泄漏。
那么它对性能有什么帮助呢？驱动程序是否会缓存预编译的语句，并在我下次执行connection.prepareStateme
浏览 0提问于2009-03-26得票数 57
我想缓存我构建的准备好的语句。当它们所建立的连接是CG'd时，我想忘记准备好的语句。
我想创建一个WeakHashMap of connection->语句，但这不起作用。语句持有对其connection对象的硬引用，因此该连接永远不会被GC。
因此，我可以将连接对象的WeakHashMap保存为对每个连接的已准备语句的弱引用。但是如果connection对象没有包含对语句的硬引用，那么这些语句将被GC'd。另一方面，如果它有，那么一切都很美好。
我们知道它是不是这样呢？
浏览 0提问于2014-04-26得票数 0
如果我不在预准备语句中使用绑定变量，性能是否会降低？
考虑下面的示例：
String selectSQL = "SELECT USER_ID, USERNAME FROM DBUSER WHERE USER_ID = '101'";
PreparedStatement preparedStatement = dbConnection.prepareStatement(selectSQL);
我知道低于1是更可取的。它可以防止sql注入
String selectSQL = "SELECT USER_ID, USERNAME FROM DBUSER
浏览 1提问于2016-07-21得票数 1
回答已采纳
4回答
我想检查来自用户的XSS和SQL注入数据，这就是我尝试的方法
if (isset($_GET['membernumber']))
{
$mem = htmlentities($_GET['membernumber']);
$memberparamter = cleanData($mem);
}
但是哪种方法是最好的/正确的检查方法？
方法1
function cleanData($data)
{
$data=mysql_real_escape_string($data);
$data=trim($dat
浏览 1提问于2013-05-25得票数 0
回答已采纳
1回答
我们在Java中有一个预准备语句，我们听说它与语句的不同之处在于，这个预准备语句不需要在每次使用时都进行编译。
我的问题是这个编译后的语句存储在哪里？在使用它的客户端代码中，还是由数据库存储？
为什么DB要存储一个编译过的语句，如果它存储了多长时间？
浏览 6提问于2009-05-06得票数 3
回答已采纳
我在控制台中看到以下错误消息：
Unable to free statement: ERROR: prepared statement "qpsqlpstmt_1" does not exist
在应用程序中调用以下函数时(或删除对象时(如果在删除前未调用clear() ))，将打印该文件：
sqlQueryModel->clear();
sqlQueryModel对象的类型为QSqlQueryModel，并在整个派生类中用于与PostgreSQL数据库进行通信。它也是QCompleter的一个模型。我从未声明或使用过"qpsqlpstmt_1"这个名称
浏览 0提问于2012-10-15得票数 0
回答已采纳
2回答
我正在尝试为我的数据库中不同表的几个字段编码json。下面是我的代码。我目前使用一个数组来表示我的表的名称($tablename)。我读过关于SQL注入的文章，但它们似乎特别关注用户输入。但是，在这种情况下，没有用户与我的数据库进行交互。这是我的应用程序的后端。对使用这样的变量名有什么想法吗？谢谢
我还研究了prepare语句，但很难以我想要的形式获取数据。
<?php
include $_SERVER['DOCUMENT_ROOT'] . '/mmcv/buildchartInfo.php';
$position = 0;
$
浏览 5提问于2013-02-13得票数 0
回答已采纳
我正在开发一个大型的codeigniter应用程序，我想我将在mysql中使用存储过程，在CI中使用存储过程是个好主意吗？
在CI的活动记录方面，我将来是否会遇到任何问题？我做得对还是错？
我每时每刻都面临着这个问题。
请推荐我。
提前感谢:)
浏览 0提问于2013-06-06得票数 0
回答已采纳
通常，在网络中可以找到这样的代码：
private static final String SQL = "SELECT * FROM table_name";
....
对于这个SQL查询，使用PreparedStatement。为什么？
据我所知，PreparedStatement会花时间预编译SQL语句。事实证明，该语句比PreparedStatement更快。还是我搞错了？
浏览 0提问于2012-03-04得票数 8
回答已采纳
准备好的语句有助于防止sql注入，但是如果sql查询中没有使用变量，那么使用准备好的语句有什么好处吗？特别是如果查询只使用一次？
例如，与使用just ()相比，使用query()和execute()有什么优势，还是在本例中使用just query有好处？例如性能效益
浏览 2提问于2017-02-22得票数 0
回答已采纳
我的问题很简单。在什么情况下，最好释放准备好的语句，从而将其从内存中删除，在什么情况下，将其保存在内存中更好？
我编写了一个使用两个准备好的语句的存储过程。前几行中的一句是像这样准备如下语句：
PREPARE selectStatementByJournalEntryAndLanguageQuery
FROM "INSERT INTO results(id, content, title, language_id, journalentry_id)
SELECT *
FROM JournalEntryTitleAndContent jetc
WHERE j
浏览 0提问于2020-03-03得票数 1
目前，我只使用存储过程，这是好的做法还是坏的做法？我发现将SQL代码从PHP代码中分离出来很有帮助，我还记得几个学期前在一门PHP课程中听说过存储过程更安全。
浏览 0提问于2010-07-30得票数 0
回答已采纳
1回答
我已经编写了一个相当复杂的存储过程，但现在我想使用变量在过程中引入一些动态性。当涉及到sql编程时，我仍然认为自己是一个新手，所以我可能完全走错了我想要实现的道路。我在windows上运行最新的MySQL服务器8.0.13 (仅供本地开发人员使用)。
我目前对存储过程的看法
..。使用输入变量
..。声明游标(使用var)
..。创建临时表(使用var)
..。遍历临时表
..。将数据写入新表
我想我理解一些基本的工具，但是我在处理变量时失败了一次又一次。下面的代码显示了我已经失败的项目的顶部部分。
PROCEDURE sprProcedure (
IN vInputParameter
浏览 23提问于2018-12-17得票数 0
回答已采纳
2回答
执行重复SQL查询的最佳实践是什么？我的理解是使用参数化查询，并在第一次执行时将其转换为预准备语句。如果此查询需要由多个线程执行，该怎么办？我需要为每个线程的每种类型的查询创建一条准备好的语句吗？或者，SQL语句的解析如今是否如此高效，以至于不再需要预准备语句？
浏览 3提问于2009-08-04得票数 1
回答已采纳
4回答
$s = explode (" ", microtime());
$s = $s[0]+$s[1];
$con = mysqli_connect ('localhost', 'test', 'pass', 'db') or die('Err');
for ($i=0; $i<1000; $i++) {
$stmt = $con -> prepare( " SELECT MAX(id) AS max_id , MIN(id) AS min_id FROM tb ")
浏览 1提问于2010-04-13得票数 7
回答已采纳
由于一个PreparedStatatement包含预编译的sql命令，所以当我们创建一个这种类型的池时，为了避免过多地创建和销毁这个对象(就像线程池一样)。
这有什么意义吗？还是我太困惑了？
浏览 0提问于2014-07-27得票数 10
有没有一种公认的方法既可以使用SQL提供程序，又可以防止log4net注入？我可以做我自己的手卷擦洗方法，但那对我来说太冒险了。
是否有某种"DontLetPeopleOwnMyDatabase“= true设置？
我们当前的危险配置：
<appender name="ADONetAppender" type="log4net.Appender.ADONetAppender">
<threshold value="ERROR"/>
<bufferSize value="1"/>
浏览 4提问于2011-02-22得票数 4
回答已采纳
2回答
这两种预准备语句到底有什么区别？
我认为真正的预准备语句需要服务器端的支持，在解析和编译sql代码的模式/模板后接受参数，我想这就是我们避免sql注入的保证。
在没有服务器支持的模拟预准备语句的情况下，
它能保证我们不受它的影响？
浏览 0提问于2013-07-28得票数 6
1回答
网上有很多关于Dynamic SQL not allowed in stored functions or triggers错误信息的问题和帖子。我明白了:不允许，没有变通方法，没有解决方案--滚开。
我感兴趣的是这样做的原因。为什么不允许呢？
浏览 10提问于2017-01-25得票数 0
这是与我的VPS主机不支持SSE 4.2有关，还是与我的PHP框架(Laravel)或CMS (10月)或其他MemSQL/MySQL驱动程序问题有关？我尝试了几种补救技术，太多了，在这里不能一一列举。欢迎提出建议。
浏览 0提问于2015-05-27得票数 1
10回答
我知道PreparedStatements可以避免/防止SQL注入。它如何做到这一点呢？使用PreparedStatements构造的最终表单查询是字符串还是其他？
浏览 7提问于2009-10-17得票数 140
回答已采纳
2回答
我正在尝试批量更新查询，但是每个更新查询都是不同的，但是运行在同一个表上。Where子句是相同的。
例如：
表: A、B、C、D、ID列
update A where ID=1
update B,C where ID=1
update D,B where ID=1 and so on ... ( all the combinations of A,B,C,D)
我研究过spring jdbc (JDBCTemplate和JDBCNamedParameter )和QueryDsl，但不可能有这样的更新。
有没有其他方法可以进行批处理这样的更新？我坚持使用Spring-JDBC。
浏览 0提问于2014-06-22得票数 0
我已连接到数据库
props.setProperty("user", login);
props.setProperty("password", password);
props.setProperty("reWriteBatchedInserts", "true");
PreparedStatement
ps = connection.prepareStatement(sqlStr);
//...
psRegion.addBatch();
如何从statem
浏览 1提问于2020-02-06得票数 0
我正在尝试确定一个proc已经执行了多少次。
当我按计划句柄搜索时，我在dm_exec_cached_plans中找到一条记录，但在dm_exec_query_stats中找不到。我能找到的所有文档都表明，如果一条记录在dm_exec_cached_plans中，那么它在dm_exec_query_stats中应该总是有一个对应的记录。
有没有人知道这不是真的情况？
浏览 2提问于2012-09-29得票数 1
2回答
我被告知要使用PDO从数据库中安全地检索数据。现在我想知道这是安全的还是有效的：
$dbtype = "sqlite";
$dbhost = "localhost";
$dbname = "test";
$dbuser = "root";
$dbpass = "admin";
$conn = new PDO("mysql:host=$dbhost;dbname=$dbname",$dbuser,$dbpass);
$firstName = htmlspeci
浏览 0提问于2014-10-04得票数 0
1回答
我是CI框架的新手。我正在做一个项目，一切都很顺利，直到我尝试用表格编辑数据库中的一行。我得到了这个错误
消息:调用未定义的方法CI_DB_mysqli_driver::prepare()
下面是我的控制器中的代码。
<code>A0</code>
这是我的视图文件
<code>A1</code>
如果更改了prepare to query end result is a boolean但进行了编辑，则会收到此错误消息
消息:对布尔值调用成员函数result()
浏览 10提问于2020-03-13得票数 0
回答已采纳
3回答
我只是想知道准备好的查询是如何工作的。我使用PHP和MySQL。
我知道，准备好的查询编译查询，然后重复使用，只需更改参数，因此它节省了时间。但是，编译后的查询会产生多长时间的影响呢？在什么情况下必须重新评估它？PHP脚本运行的时间是一样长的吗？或者只要存在与数据库的连接就可以了？在这种情况下，持久连接会对其产生影响吗？
浏览 3提问于2009-07-17得票数 1
回答已采纳
mysql_real_escape_string是如何工作的？是删除mysql函数还是在mysql函数之间添加//？它比加斜杠更好吗
浏览 2提问于2011-02-16得票数 5
2回答
我正在对站点上的所有sql语句进行重新编码，以使用PDO和准备好的语句。我已经尽了最大努力了解SQL注入的工作原理，所以我有一个问题。
如果我有一个页面，比如viewitems.php，该页面将查询数据库，从一个表中拉入所有数据，并在页面上显示所有数据。由于用户没有任何输入，这能被注入吗？我知道可以注入使用带有标题变量的数据向下钻取的页面，因为用户可以干扰标题，但是如果SQL被编码到页面中，而不需要任何外部变量，它可以被注入吗？
浏览 0提问于2013-02-24得票数 0
回答已采纳
2回答
我想知道我是否可以准备一条执行多个查询的mysqli语句：
mysqli->prepare(query1 ...1,2,3 param...; query2...4,5 param...);
or
mysqli->prepare(insert into ...1,2,3 param...; insert into...4,5 param...);
and after all
mysqli->bind_param("sssss", 1, 2, 3, 4, 5);
这样它就会出错:调用...中非对象上成员函数bind_param()。
$stmt = $sql-
浏览 1提问于2012-07-24得票数 22
回答已采纳
4回答
如何在PHP MySQL中使用预准备语句删除表的所有内容？为了安全，我必须使用预准备语句，还是使用$deleteall = mysqli_query($conn,"DELETE FROM mytable;");没有区别？
这是不是应该这样做：
$stmt = $conn->prepare("DELETE FROM mytable");
$stmt->execute();
浏览 56提问于2016-07-29得票数 0
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
云直播
对象存储活动推荐
腾讯云开发者
