什麼字符將PreparedStatement轉義？

Question

我注意到，當我使用PreparedStatement時，它看起來似乎不會轉義某些通配符，如'％'或'_'。我知道這些可以使用反斜槓在MySql中轉義。這讓我想知道，PreparedStatement會逃離哪些角色？

Answer 1

PreparedStatement不會轉義任何東西 - 它依賴於預編譯語句的數據庫支持。

也就是說，PreparedStatement決不會用? s代替參數值，以形成一個文字查詢字符串。相反，它使用佔位符將查詢字符串發送到數據庫，並使用數據庫支持來綁定查詢參數（但可能取決於JDBC驅動程序實現）。

Answer 2

在我的測試中，它逃脫了單引號，\r,\t,\n等等。它的工作原理相當不錯：

String sql = "INSERT INTO test(title) VALUES(?)"; 
PreparedStatement stmt = con.prepareStatement(sql); 
String title = "I'm a \"student\" in a \t (university) \r\n"; 
stmt.setString(1, title); 
stmt.executeUpdate();