概要：
PreparedStatement 接口继承自 Statement 接口，PreparedStatement 比普通Statement 对象使用起来更加灵活，更有效率。
一、PreparedStatement与Statement相比，具有什么优势？
1、相对比较安全，可以防止sql注入。
2、有预编译功能，相同操作批量数据效率较高。
3、使用PreparedStatement 接口，继承自 Statement接口比Statement对象使用起来更加灵活，更有效率。
二、实例代码
import java.sql.*;
import java.util.Scanner;
import org.apache.log4j.Logger;
/**
* 使用 Statement 安全性差，存在 SQL 注入隐患。
* @author CSEE
*/
public class Test6 {
private static Logger logger = Logger.getLogger(Test6.class.getName());
public static void main(String[] args) {
Connection conn = null;
Statement stmt = null;
ResultSet rs = null;
//0、根据控制台提示输入用户账号和密码
Scanner input = new Scanner(System.in);
System.out.println("\t 宠物主人登录");
System.out.print("请输入姓名：");
String name=input.next();
System.out.print("请输入密码：");
String password=input.next();
// 1、加载驱动
try {
Class.forName("com.microsoft.sqlserver.jdbc.SQLServerDriver");
} catch (ClassNotFoundException e) {
logger.error(e);
}
try {
// 2、建立连接
conn = DriverManager.getConnection(
"jdbc:sqlserver://localhost:1433;DatabaseName=epet",
"jbit", "bdqn");
// 3 、判断宠物主人登录是否成功
stmt = conn.createStatement();
String sql="select * from master where name='"+name+
"' and password='"+password+"'";
System.out.println(sql);
rs = stmt.executeQuery(sql);
if(rs.next())
System.out.println(" 登录成功，欢迎您！");
else
System.out.println(" 登录失败，请重新输入！");
} catch (SQLException e) {
logger.error(e);
} finally {
// 4、关闭 Statement 和数据库连接
try {
if (null != stmt) {
stmt.close();
}
if (null != conn) {
conn.close();
}
} catch (SQLException e) {
logger.error(e);
}
}
}
}
注：这就是网上典型的 SQL 注入攻击，原因就在于使用 Statement 接口方法时要进行 SQL
语 句 的 拼 接 ， 不 仅 拼 接 繁 琐 麻 烦 ， 容 易 出 错 ， 还 存 在 安 全 漏 洞 。 而 使 用
PreparedStatement 接口就不存在这个问题。
三、PreparedStatement 比 Statement 好在哪里？
提高了代码的可读性和可维护性。
虽然使用 PreparedStatement 来代替 Statement 会多几行代码，但避免了繁琐
麻烦又容易出错的 SQL 语句拼接，提高了代码的可读性和可维护性。
提高了 SQL 语句执行的性能。
创建 Statement 对象时不使用 SQL 语句做参数，不会解析和编译 SQL 语句，每次
调用方法执行 SQL 语句时都要进行 SQL 语句解析和编译操作，即操作相同仅仅是数
据不同。
创建 PreparedStatement 对象时使用带占位符的 SQL 语句做参数，会解析和编译
该 SQL 语句，在通过 setXxx 方法给占位符赋值后执行 SQL 语句时无需再解析和编
译 SQL 语句，直接执行即可。多次执行相同操作可以大大提高性能。
提高了安全性。
PreparedStatement 使用预编译语句，传入的任何数据都不会和已经预编译的 SQL
语句进行拼接，避免了 SQL 注入攻击。