Przekazywanie parametrów do przygotowanego oświadczenia JDBC

Powinieneś użyć setString() metoda ustawiania userID . Zapewnia to zarówno prawidłowe sformatowanie instrukcji, jak i zapobiega SQL injection :

statement =con.prepareStatement("SELECT * from employee WHERE  userID = ?");
statement.setString(1, userID);

Jest fajny samouczek dotyczący korzystania z PreparedStatement jest prawidłowo w samouczkach Java .