什么叫做SQL注入，如何防止？请举例说明。

SQL注入是一种常见的安全漏洞，它利用用户输入的数据未经过正确过滤或转义，直接拼接到SQL语句中，从而导致恶意用户可以执行恶意的SQL语句。

防止SQL注入的方法包括以下几点：

1. 使用参数化查询或预编译语句：使用参数化查询（Prepared Statement）或者预编译语句可以防止用户输入被直接拼接到SQL语句中。具体来说，将用户输入的数据作为参数传递给SQL语句，而不是将其直接拼接到SQL语句中。

2. 输入验证和过滤：对用户输入进行验证和过滤，确保输入的数据符合预期的格式和范围。可以使用正则表达式、白名单、黑名单等方式进行输入验证和过滤。

3. 最小权限原则：数据库的访问权限应该尽量设置为最小权限，避免恶意用户通过注入攻击获取敏感数据。

4. 错误信息处理：不要将详细的错误信息直接暴露给用户，因为这会提供攻击者有用的信息。应该合理处理错误信息，只向用户展示必要的错误提示。

以下是一个示例说明：

假设有以下代码用于用户登录验证：

String username = request.getParameter("username");
String password = request.getParameter("password");

String query = "SELECT * FROM users WHERE username='" + username + "' AND password='" + password + "'";

上述代码存在SQL注入的风险，因为用户输入的username和password直接拼接到SQL语句中。攻击者可以通过在username或password中输入恶意的SQL语句，来执行非法操作。

防止SQL注入的方法是使用参数化查询或预编译语句，如下所示：

String query = "SELECT * FROM users WHERE username=? AND password=?";
PreparedStatement statement = connection.prepareStatement(query);
statement.setString(1, username);
statement.setString(2, password);

通过使用参数化查询，将用户输入的数据作为参数传递给SQL语句，而不是直接拼接到SQL语句中，可以有效地防止SQL注入攻击。