PreparedStatement 比Statement 比较

1 preparedStatement 比Statement 效率高。为什么？

因为：

PreparedStatement是在执行前先输入sql语句，Statement正好相反，是在执行的时候传入sql语句的。

这样的区别在于，PreparedStatement可以在传入sql后，执行语句前，给参数赋值，避免了因普通的拼接sql字符串语句所带来的安全问题，而且准备sql和执行sql是在两个语句里面完成的，也提高了语句执行的效率。

2 PrepareStatement 可以防止sql注入，什么是sql注入？

SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序，而这些输入大都是SQL语法里的一些组合，通过执行SQL语句进而执行攻击者所要的操作，其主要原因是程序没有细致地过滤用户输入的数据，致使非法数据侵入系统