JDBC(防止攻击)

Statement stat = con.createStatement();//con是数据库连接对象，
String sql = "select * from 表名 where user='"+user+"' and password='"+"'";//若是出现这样 要求输入用户名跟密码的变量 若密码被输入  dsa'or'1=1  则这个语句会一直成立

所以引入新对象PreparedStatement （可以防止被攻击，安全性更高）

String sql = "select * from 表名 where user=? and password=?";
PreparedStatement pst = con.prepareStatement(sql);
pst.setInt(int,int);
pst.setString(int,String);
pst.setObject(int,Object);//前面的参数是第几个占位符? 后者则是内容，用Object比较方便
pst.executeUpdate();//此处与Statement对象不同，不需要参数，参数已经在建立对象的时候预定义了