jdbc中PreparedStatement和Statement

1.PreparedStatement原理
Statement主要用于执行静态SQL语句，即内容固定不变的SQL语句。Statement每执行一次都要对传入的SQL语句编译一次，效率较差。
某些情况下，SQL语句只是其中的参数有所不同，其余子句完全相同，适合使用PreparedStatement
PreparedStatement的另外一个重要好处就是预防sql注入攻击。

PreparedStatement是接口，继承自Statement接口。
使用PreparedStatement时，SQL语句已提前编译，三种常用方法 execute、 executeQuery 和 executeUpdate 已被更改，以使之不再需要参数。

PreparedStatement 实例包含已事先编译的 SQL 语句，SQL 语句可有一个或多个 参数，参数的值在 SQL 语句创建时未被指定。该语句为每个 参数保留一个问号（“？”）作为占位符。
每个问号的值必须在该语句执行之前，通过适当的setInt或者setString 等方法提供。
由于 PreparedStatement 对象已预编译过，所以其执行速度要快于 Statement 对象。因此，多次执行的 SQL 语句经常创建为 PreparedStatement 对象，以提高效率。
通常批量处理时使用PreparedStatement

//SQL语句已发送给数据库，并编译好为执行作好准备
PreparedStatement pstmt = con.prepareStatement(
“UPDATE student SET phone= ? WHERE id= ?”);
//对占位符进行初始化
pstmt.setLong(1, “13433300000”);