我要列出user表中所有记录，这里的“”应填什么？

Question

pstmt=conn.prepareStatement("select name,password from user where name=? and password=?");  
pstmt.setString(1,"");//我要列出user表中所有记录，这里的“”里应填什么
pstmt.setString(2,"");
rs=pstmt.executeQuery();
while(rs.next())
{

Answer 1

同意楼上
select name,password from user

Answer 2

可是有资料说如果不用setString()，就会被sql注入
pstmt=conn.prepareStatement("select name,password from use");我知道是可以的,但是否会被sql注入呢?

Answer 3

pstmt=conn.prepareStatement("select name,password from use");我知道是可以的,但是否会被sql注入呢?