PreparedStatement和statement的用法

PreparedStatement和Statement是Java中用于执行SQL语句的两种不同接口。

Statement是最基本的接口，用于执行静态的SQL语句。当我们使用Statement执行SQL语句时，每次都需要将完整的SQL语句传递给数据库并编译，这样会存在一些问题。首先，由于每次都需要编译SQL语句，性能会受到一定的影响。其次，当我们需要执行带有参数的SQL语句时，需要手动将参数拼接到SQL语句中，这样会存在SQL注入的风险。

PreparedStatement是Statement的子接口，它提供了一种更高效、更安全的方式来执行SQL语句。使用PreparedStatement时，我们需要预先定义好SQL语句，并将参数用占位符（?）替换。然后，通过设置参数的方式传递具体的值给占位符。数据库在首次执行PreparedStatement时会对SQL语句进行编译，并缓存编译结果，后续再次执行相同的PreparedStatement时会直接使用缓存，从而提高了性能。另外，使用PreparedStatement可以有效地防止SQL注入攻击，因为参数值是通过设置方法传递的，而不是直接拼接到SQL语句中。

下面是一个简单示例演示了PreparedStatement和Statement的用法：

// 使用Statement执行SQL语句
Statement statement = connection.createStatement();
String sql = "SELECT * FROM users WHERE age > 18";
ResultSet resultSet = statement.executeQuery(sql);

// 使用PreparedStatement执行SQL语句
String sql = "SELECT * FROM users WHERE age > ?";
PreparedStatement preparedStatement = connection.prepareStatement(sql);
preparedStatement.setInt(1, 18);
ResultSet resultSet = preparedStatement.executeQuery();

总的来说，PreparedStatement相对于Statement来说更安全、更高效，因此在实际开发中推荐使用PreparedStatement来执行SQL语句。