String sql = "SELECT userid,name FROM tuser WHERE userid=? AND password=?" ;
  pstmt = conn.prepareStatement(sql) ;
  pstmt.setString(1,userid) ; // 这里设置了第一个？的值
  pstmt.setString(2,password) ; // 这里设置了第二个？的值

等你“setString”完所有的？后，你的sql就构造好了。