一、预编译，防sql注入
其中，设置参数值占位符索引从1开始；在由sql 连接对象创建 sql执行对象时候传入参数sql语句，在执行对象在执行方法时候就不用再传入sql语句；
数据库索引一般是从1开始，java对象一般是从0开始；
java代码方法subString(2，5)是左闭右开区间，数据库subString(str, 5) 是从5开始截取到最后；
PreparedStatement预编译的sql执行对象
原文：https://www.cnblogs.com/wmqiang/p/11600768.html
