接口操作的问题

Question

String sql = "select * from login where username=? and userpassword = ?";
PreparedStatement stm = con.prepareStatement(sql);
stm.setString(1,username);
stm.setString(2,password);
为什么这样能避免SQL注入攻击？
Connection是接口，PreparedStatement也是接口 
stm能进行setXXX  executeXXX之类的方法调用操作，做何解释呀？

Answer 1

声明类型是接口,实际上是具体的类