createStatement 和 prepareStatement的区别：

概念上：

1、prepareStatement会先初始SQL,先把这个SQL提交到数据库中进行预处理，多次使用可提高效率；

2、createStatement不会初始化，没有预处理；

变量上：

prepareStatement 可以在SQL中用 ？替换变量，可以保证SQL安全问题，防止SQL注入；

createStatement 只能在SQL中拼接参数，容易造成SQL注入；

功能上：

如果想要删除多条数据，对于createStatement 需要写多条SQL语句；

而prepareStatement 通过set不同数据只需要生成一次执行计划，就可重用；

总结：

1、prepareStatement是预编译处理的，也叫jdbc存储过程，对于批量处理可以大大提高效率；同时对象的开销比createStatement大，对于一次性操作并不会带来额外的好处；但是能避免SQL注入的安全问题；

2、createStatement对象，适用于在对数据库只执行一次性存取需求，可能造成SQL注入，不安全；