preparedstatement用法

preparedStatement 是一种预编译的 SQL 语句，可以在执行时动态地设置参数，可以有效的避免 SQL 注入攻击。其用法如下：

1. 创建 PreparedStatement 对象：使用 Connection 的 prepareStatement() 方法创建一个 PreparedStatement 对象。

2. 设置 SQL 参数：使用 PreparedStatement 的 setXXX() 方法设置 SQL 语句中的参数（XXX 是参数类型，比如 setString()、setInt() 等）。

3. 执行 SQL 语句：使用 PreparedStatement 的 execute()、executeQuery() 或 executeUpdate() 方法执行 SQL 语句。

4. 处理结果集：如果执行的是查询操作，需要使用 ResultSet 对象处理查询结果。

5. 关闭 PreparedStatement 对象：使用 PreparedStatement 的 close() 方法关闭对象。

以下是一个简单的 preparedStatement 使用示例：

String sql = "INSERT INTO users (username, password) VALUES (?, ?)";
PreparedStatement statement = connection.prepareStatement(sql);
statement.setString(1, "john");
statement.setString(2, "pass123");
statement.executeUpdate();
statement.close();

在这个示例中，我们创建了一个 PreparedStatement 对象，然后使用 setString() 方法设置 SQL 参数，最后执行了一个插入操作。注意，SQL 语句中的参数使用问号（?）占位符来表示，而不是直接拼接字符串。这样做可以避免 SQL 注入攻击。