为什么推荐使用PreparedStatement而不是Statement?

在JDBC应用中,有经验的开发者,大多都使用PreparedStatement代替Statement

那么，这是为什么呢？

原因基于以下几点：

1.代码的可读性和可维护性

首先，让我们来看看使用Statement的查询SQL语句，只能采用拼接的方法传入参数

int id = 1;

String name = "rachel";

String sql = "select * from memo_group where id='"+id+"'or name='"+name+"'";
            
Statement statement = connection.createStatement();
           
ResultSet resultSet = statement.executeQuery(sql); 

而PreparedStatement可以传入带占位符的SQL语句，提供了补充占位符变量的方法

String sql = "select * from memo_group where id = ? or name= ? ";
            
prepareStatement preStatement &#