aa

把Statement全换成了PreparedStatement。感觉就像给程序加了一道防盗门，心里踏实多了。虽然代码还是乱，但至少安全了一个层级。