Parameters doorgeven aan een JDBC PreparedStatement

Gebruik de setString() methode om de userID . in te stellen . Dit zorgt ervoor dat de instructie correct wordt geformatteerd en voorkomt SQL injection :

statement =con.prepareStatement("SELECT * from employee WHERE  userID = ?");
statement.setString(1, userID);

Er is een mooie tutorial over het gebruik van PreparedStatement staat correct in de Java-tutorials .