java中执行sql语句参数设置问题

Question

想问下：
java里面：
1、
String cust_no="123456";
StringBuffer qry = new StringBuffer();
qry.append(" SELECT * ");
qry.append(" FROM TORDERDETAIL ");
qry.append(" where CUST_NO =? ");
pStmt = conn.prepareStatement(qry.toString());
pStmt.setString(1,cust_no);
rs = pStmt.executeQuery();

和
2、
String cust_no="123456";
StringBuffer qry = new StringBuffer();
qry.append(" SELECT * ");
qry.append(" FROM TORDERDETAIL ");
qry.append(" where CUST_NO ="+cust_no+" ");
pStmt = conn.prepareStatement(qry.toString());
rs = pStmt.executeQuery();
有什么本质的区别？
为什么一般都用2不用1，到底是为什么？
有人说是考虑sql注入安全问题什么的，请问下怎么个安全和不安全法？从哪些具体的方面考虑？
请大家帮忙解答一下，谢谢了！

Answer 1

PrepareStatement会以sql语句作为key把这个过程缓存起来。
你看1里面每次查询的sql语句都相同，只是参数不同，所以调用的都是同一个；而2里只要cust_no不同那sql语句就不同，所以对JVM来讲每次都是新的sql。
从这点来看1的性能明显大大超过2的性能。

至于sql注入，由于PrepareStatement是预编译的，倒是不存在这个问题.