代码中的感悟

admin

废话少说先上代码：
$ R- Z! z! _% M$ E7 _6 J' E复制内容到剪贴板
8 Z" l* x; D& G: a代码:
9 ~5 L& P! x% \6 A+ uint iPage = 0;
: l8 D4 ~; C3 v0 D7 P        int iPerPage = 20;
2 a% |0 J' i0 w; ~+ j! h        String sName = "admin";
5 x, }$ t! p- D5 Q5 T        String sSql = "select user.c_name name, (select dept.c_name from db_aty_t_aty_dept dept where dept.c_id=user.c_dept) dept, user.c_gzdh gzdh from dt_aty.t_aty_user user where user.c_dept like "
3 u+ X% V" s% P) a/ X                + sName + " and n_valid = 1 and user.c_dept != -1 limit " + iPage + "," + iPerPage;
大家写的代码是不是这个样子的呢？
我相信很多人会说，我的代码比这个写的好多了。
( U! H* e5 V; b/ w好的看下面的代码：
' L5 f& k+ M  L& o- P9 F复制内容到剪贴板
代码:
int iPage = 0;
7 }! k* t9 E$ |+ P$ y        int iPerPage = 20;
        String sName = "admin";
        String sSql =  "select "
                    + "     user.c_name name, "
! _5 z* S3 ]% ~3 R                    + "     (select dept.c_name "
                    + "          from db_aty_t_aty_dept dept "
+ ^2 \  s6 Q$ F" h5 x  x                    + "     where "
                    + "         dept.c_id=user.c_dept) dept,"
- `( G3 d$ d7 J) e9 R                    + "     user.c_gzdh gzdh "
1 U1 k. k2 f6 i7 X( x                    + "from "
1 x. d/ G# Q- J- o. z                    + "     dt_aty.t_aty_user user "
; m- B2 N/ K) }2 }; _                    + "where "
) c4 Q2 p" l  a- m+ ^                    + "     user.c_dept like " + sName
; r+ [$ p- U1 A2 t& k8 G                    + "     and "
1 J: H2 l1 b% v! o; T: u) f1 r7 k+ K                    + "     n_valid = 1 "
5 F8 z$ u2 Q' N2 B( l* X4 Y8 M                    + "     and "
& r% X' L: z7 }* w. D3 p" W                    + "     user.c_dept != -1 "
                    + "limit " + iPage + "," + iPerPage;
那么这个代码大家满意么？
还是有人会说，还可以改进，那么好的。
继续看代码：
* K: K# w8 _5 t& X" I& `复制内容到剪贴板
代码:
3 w/ p$ g0 c+ v  ?' p6 N( eint iPage = 0;
        int iPerPage = 20;
0 z* m# @* d$ @0 G+ D        String sName = "admin";
        String sSql =  "select "
                    + "     user.c_name name, "
; f9 w8 B) g! M                    + "     (select dept.c_name "
3 S8 \/ P" \" Y. u, q. j                    + "          from db_aty_t_aty_dept dept "
# Z' _0 D: w+ I9 j9 a) ?5 o                    + "     where "
                    + "         dept.c_id=user.c_dept) dept,"
5 B/ i. ~( `! |( `" B* N1 X( i                    + "     user.c_gzdh gzdh "
3 `8 y1 Y- X1 X* h: M- k7 C1 J                    + "from "
& L6 r1 B# \' X# U* N) u                    + "     dt_aty.t_aty_user user "
' S, ?. c; k6 K3 R6 F. w                    + "where "
                    + "     user.c_dept like ?"
                    + "     and "
                    + "     n_valid = 1 "
                    + "     and "
% {$ _- f9 S; m. j$ O                    + "     user.c_dept != -1 "
                    + "limit ?,?";
& J( ~/ S/ V7 H/ x' E/ Y1 l这个可以了吧！还是有人会说，我还可以改进，那么恭喜你。
看最后一段代码：
复制内容到剪贴板
代码:
int iPage = 0;
. C& f' P" }2 [+ F, v5 o4 a3 r0 t# g        int iPerPage = 20;
        String sName = "admin";
        StringBuilder sbSql = new StringBuilder();
) J. C% @  ^; |* L        sbSql.append("select ");
        sbSql.append("  user.C_name name, ");
        sbSql.append("  (select ");
$ t; j  u/ I( Z  q, v, ^9 j3 P; d        sbSql.append("      dept.c_name ");
        sbSql.append("   from ");
        sbSql.append("      db_aty.t_aty_dept dept ");
" K/ N8 o  f4 D3 v+ ^        sbSql.append("   where ");
        sbSql.append("      dept.c_id=user.c_dept) dept, ");
        sbSql.append("  user.c_gzdh gzdh ");
        sbSql.append("from ");
        sbSql.append("  db_aty.t_aty_user user ");
        sbSql.append("where ");
        sbSql.append("  user.c_dept like ? ");
$ d, }, b1 v6 O2 N4 V        sbSql.append("  and ");
        sbSql.append("  n_valid = 1 ");
        sbSql.append("  and ");
8 Y) q) M! J6 p0 A6 {# b3 w& d        sbSql.append("  user.c_dept != -1 ");
& ?. u* X) [8 [8 ]        sbSql.append("limit ?,?");
看过这四段代码大家，可能会有疑问，这是为什么呢？
我总结了几点：
1、大家可能注意到了变量的命名方式，可能大家平时写代码的时候注意不到这个，不过这也是个人的习惯问题的。其实按照自己的命名规则来写没有问题，问题在于我们在工作中写的代码不会只有自己看的。后期维护的人员也会看的，这样可以让维护人员直观的了解变量的数据类型。

( t/ a7 L3 V7 }4 X- [+ g' s2、为什么不用字符拼接而是用通配符？很多的答案我相信都是一致的，没错就是防注入。但是可能很多意识不到还有一个问题就是数据库解析。数据库接受到程序传入的SQL语句的时候，如果是拼接的字符串数据库会自动进行解析工作，那么大量SQL涌入的时候，效率就可想而知了。
. E% H1 V9 o! w" ?; m% ^
  [9 Y+ f/ s/ Q$ \. d: O! r3、为什么摒弃了最熟悉的String类型而是用StringBuilder类型。我们首先来看String类型定义的特殊性，如果用new的方式我就不用说了，大家用new的方式定义String类型的时候比较少，即使是那么定义了。大家一定会知道只要是new就一定会创建一个字符串。

字符串拼接的过程，先搜索字符串池中字符串对象。如果存在就会把该字符串地址赋值给定义的字符串变量。如果不存在就会重新创建对象。在这种拼接的过程中创建很多对象，那么对性能要求比较高，而且效率很低下。
2 s2 b' X' O; ~* F: Z( ~还有人可能问了，为什么不是StringBuffer，因为这里不需要线程安全，只要效率。所以选择StringBuilder就可以了。

1 w( a& b* d/ f# p: e4、最后一个可能是大家不太注意的问题就是，SQL的格式。一段良好的代码它的可读性是最珍贵的。说一个人有多牛，不是说这个人可以写出别人看不懂的代码，而是看有多少人可以读懂他的代码。所以SQL的格式也非常重要。


看沙发吧！我不知道我写帖子里面带有什么词语了，就是不能通过。

& R8 ?& q# H7 G0 m4 J# p& l* s8 J这次就说这么多，我希望大家多多参与进来，不过看昨天大家回复的帖子。很多人愿意被动的接受知识，而不愿意去主动探索去寻找知识。这样的态度是不对的，希望这个帖子可以让更多参与进来，不是我一个人写，而是所有人写。写出自己对编程的思考，自己的想法，自己的技巧。
8 I* P' ~" }9 v, y
: M. N( N2 b7 {$ ?( J! h0 g
( s+ @# ^4 ]7 M6 r0 s

blue的神秘世界

这样写的话  会不会有SQL注入呢

admin

blue的神秘世界 发表于 2014-11-21 03:15
4 L. O% H4 R8 c9 f' ]! G这样写的话  会不会有SQL注入呢

2 J8 b0 Z0 b- t9 V, Z! T* Z最后的代码 使用 ？号  不会出现 sql注入问题

YES——先锋

3 [* ^/ y5 S' Q
) A+ d3 D- _6 r# X. ~/ Q6 G0 C经典 超好   就是这个样的

陆文龙

其实每个人，都有每个人的写法