Question

java的预编译语句集能防止所有sql注入吗

Answer 1

是的，预编译有个类是PreparedStatement.
这个类的对象是通过参数？来传值的
例：
String sql = "select * from table where id = ?";
Connection con = .....///这里得到是数据库的连接
PreparedStatement ps = con.prepareStatement(sql);
ps.setInt(1,id);//这里的数据库语句所用到的参数要被设置的，如果你传入了错的值，或不同类型的值，它在插入到数据库语句中会编译不通过，这也就防止了SQL注入。