Übergeben von Parametern an ein JDBC-PreparedStatement

Sie sollten den setString() Methode zum Setzen der userID . Dies stellt sowohl sicher, dass die Anweisung richtig formatiert ist, als auch verhindert die SQL injection :

statement =con.prepareStatement("SELECT * from employee WHERE  userID = ?");
statement.setString(1, userID);

Es gibt ein nettes Tutorial zur Verwendung von PreparedStatement s richtig in den Java-Tutorials .