java防止sql注入

Java中可以采用以下几种方法来防止SQL注入攻击：

1. 使用预编译语句（Prepared Statement）：使用占位符?代替查询语句中的参数，然后使用PreparedStatement对象的setString()方法设置输入参数的值。这样，输入的数据就不会被视为代码执行，从而避免了SQL注入攻击。

示例代码如下：

String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement statement = connection.prepareStatement(sql);
statement.setString(1, username);
statement.setString(2, password);
ResultSet resultSet = statement.executeQuery();

2. 使用ORM框架：ORM框架（如Hibernate、MyBatis）可以自动处理SQL注入问题，它们会对输入参数进行转义或使用预编译语句，从而确保输入数据的安全性。

3. 输入验证和过滤：在接收用户输入之前，对输入进行验证和过滤，确保只接受符合预期格式的数据。例如，使用正则表达式验证输入数据是否符合预期的格式，并对特殊字符进行转义。