为什么不再使用原生JDBC，而选择MyBatis之类的框架？

JDBC 中三种执行SQL的API

• Statement：用于通用查询
• PreparedStatement：继承至Statement接口，用于执行参数化查询
• CallableStatement：继承至PreparedStatement接口，用于存储过程

1、问题：Statement与PreparedStatement的区别以及如何避免SQL注入？

• Statement属于语句硬编码的方式来执行SQL语句

String name = "1' or '1' = '1";
String age = "1' or '1' = '1";
String sql = "select * from user where name = '" + name +"' and age = '"+ age +"'";
最终结果：select * from user where name = '1' or '1' = '1' and age = '1' or '1' = '1'

• PreparedStatement：占位符/动态参数化

String sql = "select * from user where name = ? and age = ?";