Overførsel af parametre til en JDBC PreparedStatement

Du bør bruge setString() metode til at indstille userID . Dette sikrer både, at sætningen er formateret korrekt, og forhindrer SQL injection :

statement =con.prepareStatement("SELECT * from employee WHERE  userID = ?");
statement.setString(1, userID);

Der er en fin vejledning om, hvordan man bruger PreparedStatement er korrekt i Java Tutorials .