❶ sql中带有like时如何使用预编译
like语句实际上就是模糊的字段查询，通常与“%”(一个或多个)结合使用。
举例说明：
sql:SELECT * FROM tablename T WHERE T.name LIKE '%zhang%';
解释：以上语句就就是查询出tablename表中name字段带有“zhang”的所有记录。
备注：存储过程中用"||"表示连接符，用单引号(“'”)表示字符连接。
SELECT * FROM tablename T WHERE T.name LIKE '%'||'zhang'||'%'.
❷ SQL注入预编译是绝对安全的么
没错，存储过程的确能有效解决SQL注入式攻击！
理由：因为通常的数据库访问方法，都是把访问数据表的权利赋给程序，注入式攻击者通过你的程序漏洞判断和获得更多的信息，并利用你赋给程序的访问和操作权，轻者破坏本表数据，重者毁坏整个数据库！
使用存储过程则完全不同，程序中不必再有SQL语句，因此程序不必拥有访问和操作数据表的权限，只把运行存储过程的权限交给程序。程序只是把参数和存储过程名告诉数据库，然后等待结果就行了，注入式攻击者要想运行存储过程，就必需猜对存储过程名，并且还要猜对参数个数、参数名和参数的顺序，同时满足这些条件太难了，即便所以条件都满足，那么攻击者也只是往数据表里存了一组合法数据而已，不会导致其它破坏。
因此，通过存储过程能从根本上解决注入式攻击。
需要注意的是，使用存储过程后，应把原来交给程序的操作数据表的权限收回，否则就象为了防小偷锁了前门，却开着后门一样。
❸ jdbc怎么拼接sql语句
在jdbc中，有三种方式执行sql，分别是使用Statement（sql拼接），PreparedStatement（预编译），还有一种CallableStatement（存储过程），在这里我就不介绍CallableStatement了，我们来看看Statement与PreparedStatement的区别。
❹ 求高手！！！！ DButil 怎么实现预编译 以及 批量执行sql 语句 求 代码！！！
DataSource dataSource = new DataSource(); // 实例化Datasource
QueryRunner runQuery = new QueryRunner(dataSource);
runQuery.batch(sql,object); // sql : "DELETE FROM english WHERE id = ? " 预编译
Object 是一个二维数组 对应你要删除的值
❺ SQL注入的防范 使用预编译语句
预编译语句PreparedStatement是 java.sql中的一个接口，继承自Statement 接口。通过Statement对象执行SQL语句时，需要将SQL语句发送给DBMS，由 DBMS先进行编译后再执行。而预编译语句和Statement不同，在创建PreparedStatement对象时就指定了SQL语句，该语句立即发送给DBMS进行编译，当该编译语句需要被执行时，DBMS直接运行编译后的SQL语句，而不需要像其他SQL语句那样先将其编译。引发SQL注入的根本原因是恶意用户将SQL指令伪装成参数传递到后端数据库执行。作为一种更为安全的动态字符串的构建方法，预编译语句使用参数占位符来替代需要动态传入的参数，这样攻击者无法改变SQL语句的结构，SQL语句的语义不会发生改变，即便用户传入类似于前面' or '1'='1这样的字符串，数据库也会将其作为普通的字符串来处理。
❻ c#怎么预编译SQL语句，就是像Java里面那个PreparedStatement那样的，不知道C#哪个类是对应的
PreparedStatement.setXXX(index,Value);
本来就是设定值的。
建议设定字段还是使用+。
String List<X> getList(List<String> field){
String fieldList="";
StringBuffer buf=new StringBuffer().append(SELECT ");
for(oint i=0;i<field.size();i++){
buf.append(f)；
if(i!=field.size()-1) buf.append(",");
}
buf.append(" FROM table");
...
}
❼ 用预编译的方式查询是不是能够杜绝SQL注入
是的，预编译有个类是PreparedStatement.
这个类的对象是通过参数？来传值的
例：
String sql = "select * from table where id = ?";
Connection con = .....///这里得到是数据库的连接
PreparedStatement ps = con.prepareStatement(sql);
ps.setInt(1,id);//这里的数据库语句所用到的参数要被设置的，如果你传入了错的值，或不同类型的值，它在插入到数据库语句中会编译不通过，这也就防止了SQL注入。