预编译语句（PreparedStatement）使用参数化查询，有效防止SQL注入攻击，因为它将用户输入与SQL逻辑分离。