代码中的感悟

admin

废话少说先上代码：
9 E* |* X6 D$ V复制内容到剪贴板
代码:
) N' W  {1 ?: G) |int iPage = 0;
        int iPerPage = 20;
        String sName = "admin";
        String sSql = "select user.c_name name, (select dept.c_name from db_aty_t_aty_dept dept where dept.c_id=user.c_dept) dept, user.c_gzdh gzdh from dt_aty.t_aty_user user where user.c_dept like "
                + sName + " and n_valid = 1 and user.c_dept != -1 limit " + iPage + "," + iPerPage;
大家写的代码是不是这个样子的呢？
我相信很多人会说，我的代码比这个写的好多了。
好的看下面的代码：
复制内容到剪贴板
" c6 @% Y" Y4 m% F+ l; |代码:
int iPage = 0;
! s: y% ?4 z9 B  o        int iPerPage = 20;
        String sName = "admin";
' q- \* ~+ q& o# {0 _        String sSql =  "select "
" B; T( d" a. D, }' E                    + "     user.c_name name, "
                    + "     (select dept.c_name "
8 _$ \/ A9 U* o; }. \                    + "          from db_aty_t_aty_dept dept "
                    + "     where "
                    + "         dept.c_id=user.c_dept) dept,"
; h9 u. i" O% T                    + "     user.c_gzdh gzdh "
* v  N9 \9 ]2 B# X0 x8 n- H9 \5 a                    + "from "
( @  x, E! }: g% \/ d+ z4 t                    + "     dt_aty.t_aty_user user "
2 |2 P7 M" x$ c" M  X' h                    + "where "
" @& ^$ w! J8 R4 ~+ s% J                    + "     user.c_dept like " + sName
                    + "     and "
                    + "     n_valid = 1 "
6 {8 z* ?; J$ e% x7 I                    + "     and "
' O3 @4 e4 i  K8 ~1 F2 W                    + "     user.c_dept != -1 "
                    + "limit " + iPage + "," + iPerPage;
; [; X6 A  M) h那么这个代码大家满意么？
还是有人会说，还可以改进，那么好的。
继续看代码：
复制内容到剪贴板
代码:
6 S3 C* X7 b+ G' V9 t- k7 Cint iPage = 0;
        int iPerPage = 20;
' F6 N  j- k1 [  v8 _        String sName = "admin";
        String sSql =  "select "
                    + "     user.c_name name, "
* ]* M$ F" j- q4 l                    + "     (select dept.c_name "
                    + "          from db_aty_t_aty_dept dept "
# S9 W6 s' U, E, f1 W                    + "     where "
. ^. V2 r3 ^. a* S/ y, D                    + "         dept.c_id=user.c_dept) dept,"
                    + "     user.c_gzdh gzdh "
9 y/ i% i2 R4 m- g  H( f                    + "from "
" q' L2 ]# \9 ^+ {" ~- t                    + "     dt_aty.t_aty_user user "
                    + "where "
+ g: G7 L# d. ]' p) z/ R& i2 h: c8 G) r                    + "     user.c_dept like ?"
8 g& m6 P. A' E" s  f( ~                    + "     and "
                    + "     n_valid = 1 "
                    + "     and "
                    + "     user.c_dept != -1 "
# `$ s# q. m( `% H9 n  u* B                    + "limit ?,?";
这个可以了吧！还是有人会说，我还可以改进，那么恭喜你。
3 f" P( E$ l; f- ^看最后一段代码：
* n' y: ]" b# @* ^4 ~( A8 \5 C: X复制内容到剪贴板
, M$ M8 O* E' T* B; U代码:
' Z6 n' Q* N% B- _" H& b+ w5 V% pint iPage = 0;
        int iPerPage = 20;
9 h; }' b+ k/ G5 a8 I        String sName = "admin";
        StringBuilder sbSql = new StringBuilder();
( F/ m  I6 v3 c/ G& s        sbSql.append("select ");
2 {; ]2 _( ~9 u0 d+ R        sbSql.append("  user.C_name name, ");
% R- |1 }, t, d6 q# Y        sbSql.append("  (select ");
, _. q1 y5 U# B4 t+ \7 T& n+ l1 C1 A        sbSql.append("      dept.c_name ");
        sbSql.append("   from ");
        sbSql.append("      db_aty.t_aty_dept dept ");
8 {- K+ ~4 Y- |4 J, F        sbSql.append("   where ");
' u* x1 l& }: o        sbSql.append("      dept.c_id=user.c_dept) dept, ");
* R4 X' I2 F: R7 V  q8 ^. B' n1 z        sbSql.append("  user.c_gzdh gzdh ");
        sbSql.append("from ");
4 p( u2 O. a6 ]1 S        sbSql.append("  db_aty.t_aty_user user ");
" W( K4 X$ d3 ?0 z( W! \# x/ t        sbSql.append("where ");
5 Q) i8 s7 W, m7 O' L' E) z        sbSql.append("  user.c_dept like ? ");
        sbSql.append("  and ");
        sbSql.append("  n_valid = 1 ");
# f2 i+ G( e" c# N        sbSql.append("  and ");
        sbSql.append("  user.c_dept != -1 ");
        sbSql.append("limit ?,?");
看过这四段代码大家，可能会有疑问，这是为什么呢？
我总结了几点：
+ c) W0 H4 d4 j" B: r0 a7 v+ B4 Y1、大家可能注意到了变量的命名方式，可能大家平时写代码的时候注意不到这个，不过这也是个人的习惯问题的。其实按照自己的命名规则来写没有问题，问题在于我们在工作中写的代码不会只有自己看的。后期维护的人员也会看的，这样可以让维护人员直观的了解变量的数据类型。

2、为什么不用字符拼接而是用通配符？很多的答案我相信都是一致的，没错就是防注入。但是可能很多意识不到还有一个问题就是数据库解析。数据库接受到程序传入的SQL语句的时候，如果是拼接的字符串数据库会自动进行解析工作，那么大量SQL涌入的时候，效率就可想而知了。

3、为什么摒弃了最熟悉的String类型而是用StringBuilder类型。我们首先来看String类型定义的特殊性，如果用new的方式我就不用说了，大家用new的方式定义String类型的时候比较少，即使是那么定义了。大家一定会知道只要是new就一定会创建一个字符串。
  R. |0 w. B7 |
& Q! i' [4 g5 H1 s( ^( m- ~+ k字符串拼接的过程，先搜索字符串池中字符串对象。如果存在就会把该字符串地址赋值给定义的字符串变量。如果不存在就会重新创建对象。在这种拼接的过程中创建很多对象，那么对性能要求比较高，而且效率很低下。
还有人可能问了，为什么不是StringBuffer，因为这里不需要线程安全，只要效率。所以选择StringBuilder就可以了。

4、最后一个可能是大家不太注意的问题就是，SQL的格式。一段良好的代码它的可读性是最珍贵的。说一个人有多牛，不是说这个人可以写出别人看不懂的代码，而是看有多少人可以读懂他的代码。所以SQL的格式也非常重要。

3 z8 E0 y2 x& B5 b0 z
看沙发吧！我不知道我写帖子里面带有什么词语了，就是不能通过。
. y) p4 [& I" n$ f* B' A# z* W
. `/ ?8 i- t1 |2 F, e) w. x0 t, i这次就说这么多，我希望大家多多参与进来，不过看昨天大家回复的帖子。很多人愿意被动的接受知识，而不愿意去主动探索去寻找知识。这样的态度是不对的，希望这个帖子可以让更多参与进来，不是我一个人写，而是所有人写。写出自己对编程的思考，自己的想法，自己的技巧。
- l3 J/ ?5 @; c% I, V/ ]) \; a: b; v! p

blue的神秘世界

这样写的话  会不会有SQL注入呢

admin

blue的神秘世界 发表于 2014-11-21 03:15
- z0 h5 g- D1 M- X! m' V这样写的话  会不会有SQL注入呢

最后的代码 使用 ？号  不会出现 sql注入问题

YES——先锋

4 N6 d( o  B9 W' r  W# j经典 超好   就是这个样的

陆文龙

其实每个人，都有每个人的写法