bonne syntaxe à utiliser près de '?'

Vous devez exécuter le PrepareStatement sans paramètres comme suit :

statement.executeQuery()

Appel de executeQuery avec une String exécutera la requête fournie telle quelle (sans les paramètres liés).