`Statement` 和 `PreparedStatement` 都是Java中用于执行SQL语句的接口，它们属于Java JDBC API的一部分，但它们在查询构建、性能和安全性方面存在一些差异：
1. Statement:
- `Statement` 用于执行静态的SQL语句，每次执行时都会将SQL文本传递给数据库。
- 它通常用于执行简单、不变的SQL语句。
- `Statement` 对象可以执行任意的SQL语句，包括查询和更新操作。
2. PreparedStatement:
- `PreparedStatement` 是 `Statement` 的子接口，它代表了带有输入参数的预编译SQL语句。
- 预编译的语句可以在多次调用中使用不同的参数值执行，提高了性能。
- `PreparedStatement` 可以防止SQL注入攻击，因为它使用参数化查询。
SQL注入:
SQL注入是一种安全漏洞，攻击者可以通过在Web应用的输入字段中插入恶意SQL代码，来影响后台的SQL语句执行，从而获取、篡改或删除数据库中的数据。
如何防止SQL注入:
1. 使用PreparedStatement: 通过使用参数化查询，可以确保应用程序发送的SQL语句的结构是固定的，只有参数值会变化，从而避免SQL注入。
2. 对输入进行验证: 对用户输入进行严格的验证，确保它们符合预期的格式，例如使用正则表达式验证输入是否为数字、日期等。
3. 限制数据库权限: 为应用程序使用的数据库账户分配尽可能少的权限，避免使用具有数据库管理权限的账户。
4. 使用ORM框架: 许多现代的ORM（对象关系映射）框架，如Hibernate，自动使用参数化查询或提供额外的防护措施来防止SQL注入。
5. 转义输入数据: 如果不能使用参数化查询，应该对输入数据进行转义，确保特殊字符被适当地引用。
6. 使用安全API: 避免构建SQL语句时使用字符串拼接，使用提供的安全API，如Spring框架的JdbcTemplate。
7. 错误处理: 不要在错误消息中显示敏感信息，避免泄露数据库结构或其他敏感信息。
8. 定期审计和更新: 定期审计代码库和数据库，更新应用程序和数据库软件到最新版本，以修复已知的安全漏洞。
通过采取这些预防措施，可以显著降低SQL注入攻击的风险，提高Web应用的安全性。