В чем разница между PreparedStatement и Statement

PreparedStatement и Statement — интерфейсы для выполнения SQL-запросов в JDBC, но с ключевыми отличиями:

1. Безопасность
   PreparedStatement защищает от SQL-инъекций, так как параметры передаются через setXxx(), а не встраиваются в строку.
   Statement уязвим, так как запрос формируется конкатенацией строк.

2. Производительность
   PreparedStatement компилируется один раз и кэшируется, что ускоряет повторные выполнения.
   Statement компилируется каждый раз.

3. Читаемость
   PreparedStatement удобнее для запросов с параметрами.

Пример:

// Statement (небезопасно)
String sql = "SELECT * FROM users WHERE id = " + userId;
Statement stmt = connection.createStatement();
ResultSet rs = stmt.executeQuery(sql);

// PreparedStatement (безопасно)
String sql = "SELECT * FROM users WHERE id = ?";
PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setInt(1, userId);
ResultSet rs = pstmt.executeQuery();