A diferença vai além da simples adição de parâmetros.
A maioria dos bancos de dados relacionais lida com uma consulta (query) JDBC / SQL em quatro passos:
- Interpretar (parse) a consulta SQL;
- Compilar a consulta SQL;
- Planejar e otimizar o caminho de busca dos dados;
- Executar a consulta otimizada, buscando e retornando os dados.
Um Statement irá sempre passar pelos quatro passos acima para cada consulta SQL enviada para o banco.
Já um Prepared Statement pré-executa os passos (1) a (3). Então, ao criar um Prepared Statement alguma pré-otimização é feita de imediato. O efeito disso é que, se você pretende executar a mesma consulta repetidas vezes mudando apenas os parâmetros de cada uma, a execução usando Prepared Statements será mais rápida e com menos carga sobre o banco.
Outra vantagem dos Prepared Statements é que, se utilizados corretamente, ajudam a evitar ataques de Injeção de SQL. Note que para isso é preciso que os parâmetros da consulta sejam atribuídos através dos métodos setInt()
, setString()
, etc. presentes na interface PreparedStatement
e não por concatenação de strings.
Para uma consulta que não requer nenhum parâmetro e que vai ser executada poucas vezes, um Statement
basta. Para os demais casos, prefira PreparedStatement
.
(Baseado nesta resposta em inglês e em https://en.wikipedia.org/wiki/Prepared_statement).