java - 在 android 中更新 sqlite 数据库的首选方法

Question

在android中使用db.update哪种方式更快更好？即:构造整个 where 子句字符串以及 where 子句变量值，或者通过将 where 子句变量值作为字符串数组传递来使用第四个参数进行更新？

将 where 子句变量值作为新的字符串数组传递可以防止 sql 注入(inject)攻击吗？

  public boolean UpdateChannelSortKey(Channel c)
  {
        ContentValues cv = new ContentValues();
        cv.put("SortKey", c.SortKey);
        return this.db.update("Channels", cv, "ChannelID = ?", new String[]{String.valueOf(c.ChannelID)}) > 0;
  }

或

public boolean UpdateChannelSortKey(Channel c)
  {
        ContentValues cv = new ContentValues();
        cv.put("SortKey", c.SortKey);
        return this.db.update("Channels", cv, "ChannelID = " + c.ChannelID, null) > 0;
  }

Answer 1

第一种方式更可取，因为:

1) 是的，它可以防止 sql 注入(inject)攻击。

2) 最好始终使用准备好的语句 - 不仅仅是在 android 中，这样你会养成一个好习惯。

3) 恕我直言，它具有更高的可读性。