statement 和preparedstatement 的区别是什么

Statement和PreparedStatement是Java中用于执行SQL语句的两个接口，它们有以下区别：

1. 编译过程：Statement对象在执行SQL语句之前不进行预编译，每次执行SQL语句都要进行编译。而PreparedStatement对象在创建时就进行了预编译，可以多次执行不同的参数而无需重新编译。

2. 参数设置：使用Statement对象执行带有参数的SQL语句时，需要手动拼接参数值到SQL字符串中。而PreparedStatement对象可以使用占位符（?）来表示参数，然后通过提供的方法设置参数值，这样更安全且方便。

3. SQL注入：由于Statement对象需要将参数值直接拼接到SQL字符串中，存在SQL注入的风险。而PreparedStatement对象使用占位符传递参数值，预编译时已经对输入进行了转义和验证，可以有效地防止SQL注入攻击。

4. 性能：由于PreparedStatement对象在创建时已经进行了预编译，多次执行相同的SQL语句可以减少数据库的解析和优化时间，提高执行性能。

综上所述，PreparedStatement比Statement更安全、更高效，尤其适用于需要频繁执行相同SQL语句但参数值不同的场景。