Passaggio di parametri a un PreparedStatement JDBC

Dovresti usare setString() metodo per impostare il userID . Ciò garantisce che l'istruzione sia formattata correttamente e impedisce SQL injection :

statement =con.prepareStatement("SELECT * from employee WHERE  userID = ?");
statement.setString(1, userID);

C'è un bel tutorial su come usare PreparedStatement s correttamente in i tutorial Java .