代码中的感悟

admin

废话少说先上代码：
6 Y: k( f) a( b复制内容到剪贴板
3 p* v  S! O$ e3 P) W& a; e  a: ~代码:
' p1 |) V8 d& |5 K  u0 v7 Uint iPage = 0;
# f  O  e) a/ T/ N        int iPerPage = 20;
        String sName = "admin";
$ i% F6 g5 O; l) t- y+ i        String sSql = "select user.c_name name, (select dept.c_name from db_aty_t_aty_dept dept where dept.c_id=user.c_dept) dept, user.c_gzdh gzdh from dt_aty.t_aty_user user where user.c_dept like "
                + sName + " and n_valid = 1 and user.c_dept != -1 limit " + iPage + "," + iPerPage;
, V* f0 K8 o7 N  c/ b大家写的代码是不是这个样子的呢？
我相信很多人会说，我的代码比这个写的好多了。
好的看下面的代码：
复制内容到剪贴板
2 |7 P- h) t' l! w: n( E代码:
# ?  x0 V5 S- d/ H8 p) U" `: C9 L" Iint iPage = 0;
        int iPerPage = 20;
3 u% f7 s# S) m1 E        String sName = "admin";
        String sSql =  "select "
! ?! A* B) R5 Q7 z# V* g! c                    + "     user.c_name name, "
                    + "     (select dept.c_name "
! S/ [3 M- T- [  ?* ]                    + "          from db_aty_t_aty_dept dept "
/ t5 Q3 H) B8 a# v                    + "     where "
                    + "         dept.c_id=user.c_dept) dept,"
# Z( E4 j" v& Z, m7 q                    + "     user.c_gzdh gzdh "
% x' A" ?- V" g& A2 X2 v                    + "from "
- W  x( w3 O* v/ ?( B% x9 f$ {% Y                    + "     dt_aty.t_aty_user user "
                    + "where "
                    + "     user.c_dept like " + sName
                    + "     and "
" C* @8 n- g& u. n                    + "     n_valid = 1 "
                    + "     and "
                    + "     user.c_dept != -1 "
/ l% s- D. Y2 Z0 q                    + "limit " + iPage + "," + iPerPage;
: S% S0 Z8 K. b. C5 [* H. G那么这个代码大家满意么？
: Y" l8 i, a1 n还是有人会说，还可以改进，那么好的。
继续看代码：
复制内容到剪贴板
代码:
int iPage = 0;
        int iPerPage = 20;
        String sName = "admin";
        String sSql =  "select "
* |( D$ A& b1 e9 |  ~7 s                    + "     user.c_name name, "
                    + "     (select dept.c_name "
                    + "          from db_aty_t_aty_dept dept "
                    + "     where "
                    + "         dept.c_id=user.c_dept) dept,"
2 s# x7 `/ K% ]# R                    + "     user.c_gzdh gzdh "
3 a8 Y3 x2 w0 }# Y# w; M4 A8 x6 N                    + "from "
' v* {) t/ w  X9 a- J1 k6 m0 B                    + "     dt_aty.t_aty_user user "
                    + "where "
2 [& G7 [$ }8 ^; A$ f4 \                    + "     user.c_dept like ?"
- n  ]. G0 E4 w5 S                    + "     and "
                    + "     n_valid = 1 "
                    + "     and "
; T; o9 z8 s, R$ B8 U0 U                    + "     user.c_dept != -1 "
) J4 t4 H/ p" M% ?& p4 u$ K                    + "limit ?,?";
这个可以了吧！还是有人会说，我还可以改进，那么恭喜你。
2 g/ o7 l1 y  p$ ?' |- L0 J看最后一段代码：
复制内容到剪贴板
+ C7 O6 ]. k+ t代码:
8 M; T: I' I. H8 T, Nint iPage = 0;
        int iPerPage = 20;
0 o- ~, c* h7 g& }        String sName = "admin";
        StringBuilder sbSql = new StringBuilder();
9 \" E: x5 u& Q, E8 Z        sbSql.append("select ");
        sbSql.append("  user.C_name name, ");
        sbSql.append("  (select ");
, k3 Q8 C3 d7 ?4 i8 Y2 p1 P        sbSql.append("      dept.c_name ");
        sbSql.append("   from ");
, K* j) a: W4 S' P$ N8 L        sbSql.append("      db_aty.t_aty_dept dept ");
        sbSql.append("   where ");
- b  v4 ~9 s! {1 Q0 c5 k% ^        sbSql.append("      dept.c_id=user.c_dept) dept, ");
        sbSql.append("  user.c_gzdh gzdh ");
        sbSql.append("from ");
        sbSql.append("  db_aty.t_aty_user user ");
        sbSql.append("where ");
3 i6 ]1 [# {5 m) G  ^        sbSql.append("  user.c_dept like ? ");
/ d7 L+ t* J- o  T+ O        sbSql.append("  and ");
: @5 Z6 ]4 b; U1 B2 @6 a7 Y        sbSql.append("  n_valid = 1 ");
        sbSql.append("  and ");
        sbSql.append("  user.c_dept != -1 ");
        sbSql.append("limit ?,?");
看过这四段代码大家，可能会有疑问，这是为什么呢？
- \4 k7 p' n3 z. s+ |& q: C) ^* v我总结了几点：
. b6 Q' n9 T/ u/ Q# f! m8 x$ @1、大家可能注意到了变量的命名方式，可能大家平时写代码的时候注意不到这个，不过这也是个人的习惯问题的。其实按照自己的命名规则来写没有问题，问题在于我们在工作中写的代码不会只有自己看的。后期维护的人员也会看的，这样可以让维护人员直观的了解变量的数据类型。
+ s0 |3 {7 M0 F! F# J# J2 B4 o7 K  v
2、为什么不用字符拼接而是用通配符？很多的答案我相信都是一致的，没错就是防注入。但是可能很多意识不到还有一个问题就是数据库解析。数据库接受到程序传入的SQL语句的时候，如果是拼接的字符串数据库会自动进行解析工作，那么大量SQL涌入的时候，效率就可想而知了。

3、为什么摒弃了最熟悉的String类型而是用StringBuilder类型。我们首先来看String类型定义的特殊性，如果用new的方式我就不用说了，大家用new的方式定义String类型的时候比较少，即使是那么定义了。大家一定会知道只要是new就一定会创建一个字符串。
7 B8 \: \) f) w5 F! e
3 f$ W# |5 s; T: O字符串拼接的过程，先搜索字符串池中字符串对象。如果存在就会把该字符串地址赋值给定义的字符串变量。如果不存在就会重新创建对象。在这种拼接的过程中创建很多对象，那么对性能要求比较高，而且效率很低下。
& ~9 ^" z" j( @8 r还有人可能问了，为什么不是StringBuffer，因为这里不需要线程安全，只要效率。所以选择StringBuilder就可以了。
/ C' ]9 `/ Z* p3 H  H
( f! f, J$ ?; r, W; z; z4、最后一个可能是大家不太注意的问题就是，SQL的格式。一段良好的代码它的可读性是最珍贵的。说一个人有多牛，不是说这个人可以写出别人看不懂的代码，而是看有多少人可以读懂他的代码。所以SQL的格式也非常重要。


( G+ \& N- E, m) t( Q0 H( ]8 H+ ]2 M看沙发吧！我不知道我写帖子里面带有什么词语了，就是不能通过。
* E$ y6 j: u* R# o- s
这次就说这么多，我希望大家多多参与进来，不过看昨天大家回复的帖子。很多人愿意被动的接受知识，而不愿意去主动探索去寻找知识。这样的态度是不对的，希望这个帖子可以让更多参与进来，不是我一个人写，而是所有人写。写出自己对编程的思考，自己的想法，自己的技巧。

blue的神秘世界

这样写的话  会不会有SQL注入呢

admin

blue的神秘世界 发表于 2014-11-21 03:15
这样写的话  会不会有SQL注入呢

& X* k3 M/ q7 q! r5 K最后的代码 使用 ？号  不会出现 sql注入问题

YES——先锋

9 r& D" g1 R9 `3 k0 y7 G
; [4 u# n: ^* `5 n经典 超好   就是这个样的

陆文龙

其实每个人，都有每个人的写法