PreparedStatement是Java中用于执行预编译SQL语句的一种方式，它可以有效地防止SQL注入攻击。当你使用PreparedStatement时，参数会被自动转义，从而避免了恶意用户通过插入特殊字符来改变SQL语句的结构。
以下是如何使用PreparedStatement防止SQL注入的示例：
String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
setXXX()方法为占位符设置参数值。这些方法会自动处理特殊字符，从而防止SQL注入。PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setString(1, "username_value");
pstmt.setString(2, "password_value");
executeQuery()方法执行SQL查询。ResultSet resultSet = pstmt.executeQuery();
通过这种方式，你可以确保用户输入的数据不会被解释为SQL代码的一部分，从而有效地防止SQL注入攻击。
