Eliminar las comillas alrededor del ? Marcadores de posición de declaración preparada. El controlador JDBC citará las cadenas por usted. Cuando usted mismo cita el marcador de posición de la cadena, el controlador JDBC cree que desea pasar un ? literal en su declaración.
No ha mencionado la base de datos que está utilizando, pero el autor principal del controlador MySQL JDBC lo confirma aquí:http://forums.mysql.com/read.php?39,499385,499450#msg-499450
