1.两者之间的关系：
- preparedstatement和statement两者都是用来执行sql查询语句的API之一。
- preparedstatement接口继承了statement接口。
2.两者之间的区别：
- statement不对sql语句做处理，直接交给数据库；而prepraedstatement是支持预编译的，会将编译好的sql语句放在数据库端，相当于缓存，对于多次重复执行的sql语句，使用prepraedstatement可以使得代码的执行效率更高。
- 使用statement对象，在数据库只执行一次存取的时候，用statement对象进行处理，prepraedstatement对象的开销对statement大，对于一次性操作并不会带来额外的好处。
- 执行许多sql语句的JDBC程序产生大量的statement和preparedstatement对象，通常以为preparedstatement比statement对象更有效。
- statement的sql语句使用字符串拼接的方式，非常容易导致出错，且存在sql注入的风险，preparedstatement使用“？”占位符，提升了代码的可读性和可维护性，并且这种绑定参数的方式可以有效地防止sql注入。
3.什么是sql注入：
sql存在的漏洞，会被攻击导致数据泄露，sql会被拼接。