使用preparedstatement避免sql注入攻击