java preparedStatement

使用PreparedStatement时 会先将sql 语句预处理一下并存放于内存中，占位符区域 只会当成参数，不会成为sql的一部分。而使用statement时候，由于要先构造好sql(参数已包含)，然后一直执行，所以如果传的参数里面带有sql指令，同样可以被执行