前言：
JDBC（Java Database Connectivity）是一种Java编程语言用于定义与关系型数据库之间连接的应用程序接口。通过JDBC，开发者可以使用Java编写数据库相关的应用程序。JDBC提供了一种标准的方法来与不同类型的数据库进行交互，使得开发者无需关心具体数据库的类型和实现细节。
在JDBC中，常用的操作包括执行SQL查询、更新数据库记录、事务处理等。在执行SQL语句时，我们可以使用Statement或者PreparedStatement对象。
Statement的使用：
Statement对象用于执行静态SQL语句，即在编译阶段确定的SQL语句。使用Statement对象执行SQL语句的过程包括以下几个步骤：
1. 创建Statement对象：通过Connection对象的createStatement()方法创建一个Statement对象。
2. 执行SQL语句：通过Statement对象调用execute()、executeQuery()或executeUpdate()方法来执行SQL语句。execute()方法可执行任意的SQL语句，executeQuery()方法用于执行查询语句并返回一个ResultSet对象，executeUpdate()方法用于执行增、删、改等操作并返回受影响的行数。
3. 处理结果：根据需要处理SQL语句执行的结果，如使用ResultSet对象遍历查询结果。
以下是使用Statement执行查询语句的示例代码：
Connection connection = DriverManager.getConnection(url, username, password);
Statement statement = connection.createStatement();
ResultSet resultSet = statement.executeQuery("SELECT * FROM students");
while (resultSet.next()) {
int id = resultSet.getInt("id");
String name = resultSet.getString("name");
// 处理查询结果
}
PreparedStatement的使用：
PreparedStatement对象用于执行动态SQL语句，即在运行时通过占位符（?）来表示参数的SQL语句。使用PreparedStatement对象执行SQL语句的过程包括以下几个步骤：
1. 创建PreparedStatement对象：通过Connection对象的prepareStatement()方法创建一个PreparedStatement对象，并传入带占位符的SQL语句。
2. 设置参数：通过PreparedStatement对象的setXxx()方法设置占位符对应的参数值，其中Xxx为参数的数据类型。
3. 执行SQL语句：通过PreparedStatement对象调用execute()、executeQuery()或executeUpdate()方法来执行SQL语句。
4. 处理结果：根据需要处理SQL语句执行的结果，如使用ResultSet对象遍历查询结果。
以下是使用PreparedStatement执行增加记录的示例代码：
Connection connection = DriverManager.getConnection(url, username, password);
PreparedStatement preparedStatement = connection.prepareStatement("INSERT INTO students(id, name) VALUES (?, ?)");
preparedStatement.setInt(1, 1);
preparedStatement.setString(2, "John");
int affectedRows = preparedStatement.executeUpdate();
// 处理操作结果
Statement与PreparedStatement的区别：
Statement和PreparedStatement都可以执行SQL语句，但它们在使用上有一些区别：
1. SQL语句的编译方式：Statement每次执行SQL语句时都需要进行编译，而PreparedStatement在创建时会进行预编译，后续执行时只需要传入参数进行赋值。
2. 执行效率：由于PreparedStatement的预编译机制，相同的SQL语句只需要编译一次，可以提高执行效率。而Statement每次执行都需要编译，执行效率较低。
3. 防止SQL注入：PreparedStatement使用占位符传入参数，可以有效地防止SQL注入攻击。而Statement直接拼接参数到SQL语句中，容易受到SQL注入攻击。
4. 可读性和易用性：PreparedStatement通过占位符的方式更具可读性，也更易于使用和维护。Statement则需要手动拼接SQL语句，可读性较差。
综上所述，使用PreparedStatement比Statement更加安全、高效和易用，特别是在执行重复的SQL语句时，PreparedStatement的性能更卓越。因此，在实际开发中，建议尽可能地使用PreparedStatement而不是Statement来执行SQL语句。
