Что такое PreparedStatement

PreparedStatement — это интерфейс в JDBC, представляющий предкомпилированный SQL-запрос. Он повышает производительность (т.к. запрос компилируется один раз) и безопасность (защита от SQL-инъекций через параметризацию).

Пример:

String sql = "SELECT * FROM users WHERE email = ? AND age > ?";
try (PreparedStatement stmt = connection.prepareStatement(sql)) {
    stmt.setString(1, "user@example.com"); // Подстановка параметров
    stmt.setInt(2, 18);
    ResultSet rs = stmt.executeQuery();
    // Обработка результатов
}

Отличия от Statement:

• Параметры заменяются через setXxx(), а не конкатенация строк.
• Защита от инъекций: ' OR '1'='1 не сработает.
• Повторное использование с разными параметрами.