注意：不能拼接sql语句，建议使用预处理查询

preparedStatement：预编译对象， 是Statement对象的子类。

特点：

性能要高

会把sql语句先编译，解决SQL注入问题