Statement和PreparedStatement有什么区别？

Statement和PreparedStatement是Java中用于执行SQL语句的两种不同的接口。它们之间的主要区别如下：

1. Statement是静态SQL语句的执行接口，而PreparedStatement是动态SQL语句的执行接口。Statement在执行之前会将SQL语句编译为可执行的代码，而PreparedStatement在创建时就会进行预编译，可以多次执行，提高了执行效率。

2. PreparedStatement可以使用占位符（?）来代替具体的参数值，这样可以防止SQL注入攻击。而Statement需要将参数值直接拼接到SQL语句中，容易受到SQL注入攻击。

3. PreparedStatement支持批量操作，可以一次性执行多个SQL语句，提高了数据库操作的效率。而Statement只能执行单个SQL语句。

4. PreparedStatement可以更好地处理大型二进制数据，如图片、音频等。它提供了setBinaryStream()和setBlob()等方法，可以方便地处理二进制数据。而Statement不支持这些方法。

5. PreparedStatement可以通过设置参数的数据类型来自动进行数据类型转换，而Statement需要手动进行数据类型转换。

下面是一个示例代码，演示了如何使用Statement和PreparedStatement：

// 使用Statement执行静态SQL语句
Statement statement = connection.createStatement();
String sql = "SELECT * FROM dept WHERE deptno = 10";
ResultSet resultSet = statement.executeQuery(sql);

// 使用PreparedStatement执行动态SQL语句
PreparedStatement preparedStatement = connection.prepareStatement("INSERT INTO dept VALUES (?, ?, ?)");
preparedStatement.setInt(1, 10);
preparedStatement.setString(2, "IT");
preparedStatement.setString(3, "北京");
preparedStatement.executeUpdate();