java 防止sql注入代码

在Java中防止SQL注入通常采用以下几种方法：

1. 使用预处理语句（PreparedStatement）：这是防止SQL注入的最有效的方法。预处理语句使用占位符来代替直接将参数拼接到SQL语句中，这样可以保证输入的内容被当作数据处理，而不是SQL代码的一部分。

示例代码：

   String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
   PreparedStatement statement = connection.prepareStatement(sql);
   statement.setString(1, username);
   statement.setString(2, password);
   ResultSet resultSet = statement.executeQuery();

2. 使用参数化查询：与预处理语句类似，参数化查询也是通过使用占位符来避免直接将用户输入拼接到SQL语句中。

3. 过滤和转义输入：对用户输入进行严格的验证，过滤掉潜在的危险字符，并对输入进行适当的转义处理。

4. 使用ORM框架：比如Hibernate或MyBatis等，这些框架在内部处理SQL语句时，通常会采用预处理语句，从而提供了一定程度的保护。

5. 使用存储过程：在数据库端使用存储过程可以将SQL逻辑封装起来，通过调用存储过程来执行SQL操作，这样可以减少直接使用SQL语句的风险。

6. 限制数据库权限：不要给应用程序的数据库账户过多的权限，最好仅提供执行必要操作的权限，以减少潜在的风险。

7. 正确的异常处理：避免在错误信息中透露过多的数据库信息，这可以防止攻击者获取数据库的结构和配置信息。