动态 SQL 参数占位符：使用 '?' 防止 SQL 注入

动态 SQL 参数占位符的写法是使用'?'作为占位符。在执行 SQL 语句的时候，使用 PreparedStatement 的 setXXX 方法来设置参数的值，其中 XXX 根据参数类型的不同而不同。例如，如果参数是整数类型，可以使用 setInt 方法来设置参数的值，如果参数是字符串类型，可以使用 setString 方法来设置参数的值。使用占位符来设置 SQL 参数可以有效地防止 SQL 注入攻击。