Вообще-то вопрос не для этой группы.
Однозначно читать документацию по архитектуре J2EE.

1. По возможности нужно использовать Stateless-компоненты.
2. Для работы с СУБД нужно средствами сервера приложений организовать пул соединений, а в приложении получать соединение из пула, выполнять запрос/запросы и возвращать соединение в пул(закрывая соединение).
3. Желательно пользоваться PreparedStatement, т.к. динамические запросы кешируются как самим сервером СУБД, так и сервером приложений. Но чтобы взялся запрос из кеша он должен посимвольно совпадать с уже готовым. Если в запрос явно подставлены значения параметров и они меняются при каждом новом запросе, то с т.з. СУБД это будут разные запросы. Если же использовать PreparedStatement с подстановочными символами для значений, то текст запроса при разных параметрах будет совпадать.
При этому нужно не забывать смотреть на план выполнения запроса. В зависимости от текста запроса может быстрее выполняться запрос с явно подставленными значениями параметров.
4. Многопоточность обеспечивает сервер приложений, но разработчик должен следовать правилам написания классов. Например для сервлетов один экземпляр сервлета может обслуживать N-запросов, поэтому в классе сервлета нельзя использовать private-переменные. Все это есть в спецификациях J2EE.