Чем PreparedStatement безопаснее обычного Statement?

Statement выполняет SQL-строку, собранную приложением. Если в неё попадает ввод пользователя ("... WHERE login = '" + login + "'"), ввод ' OR '1'='1 меняет смысл запроса — SQL-инъекция.

PreparedStatement содержит запрос с плейсхолдерами ?, а значения передаются отдельно через setString, setLong и т. д. Драйвер и база обрабатывают их как данные, а не как часть SQL, сколько бы кавычек там ни было.

Дополнительные плюсы:

• производительность — база может разобрать и спланировать запрос один раз и выполнять многократно (серверные prepared statements; в PostgreSQL драйвер переходит на них после нескольких выполнений — prepareThreshold);
• типы — даты, числа, двоичные данные передаются корректно без ручного форматирования;
• пакетная обработка — addBatch/executeBatch для массовых вставок.

Ограничения: параметром нельзя передать имя таблицы, колонки, направление сортировки — для них белый список допустимых значений. Список для IN (...) — нужное число плейсхолдеров или = ANY(?) с массивом в PostgreSQL.

В JPA и Spring Data параметры именованные (:id), но под капотом — тот же PreparedStatement; инъекции возвращаются при конкатенации строк в JPQL или нативных запросах.

try (PreparedStatement ps = conn.prepareStatement(
        "SELECT id, total FROM orders WHERE customer_id = ? AND status = ?")) {
    ps.setLong(1, customerId);
    ps.setString(2, status);
    try (ResultSet rs = ps.executeQuery()) { /* ... */ }
}