PreparedStatement支持参数化查询，能够有效避免SQL注入问题，因为它会自动对参数进行转义处理。