>>426
原則yes. 生JDBCじゃない場合でも、類似のものを使うケースはあるしな。

原則として、外部からやってきたパラメータはあらゆる意味で信用できない
ので、細心の注意(※)を払ってエスケープしながらSQLを組み立てるより、
最初からエスケープ自体が不要な方法を使うべき。

※細心の注意をはらっても、なお空隙を突かれるケースは少なくない。
不完全なマルチバイト文字でエスケープが破綻するとか、
冗長なUTF-8でエスケープを無効化されるとか……。