Чем SQL injection отличается от prepared statement и когда что выбрать?

Сравнение: SQL injection стоит сравнивать с prepared statement по критериям читаемости, безопасности, производительности, тестируемости и поддержки командой.

Когда выбирать SQL injection: когда его свойства прямо соответствуют задаче: параметризованные запросы защищают от injection.

Слабый ответ: “так принято в Spring/Java”. На собеседовании лучше объяснить ограничения и цену выбора.

jdbcTemplate.query("select * from users where id=?", id);