Java中如何防止SQL注入攻击？

在Java中，防止SQL注入攻击通常涉及以下几个步骤：

1. **参数化查询**（Parameterized Queries）：使用PreparedStatement而不是直接拼接字符串，所有的参数都是预编译好的，SQL语句和实际值分开，数据库会自动处理转义和类型匹配，避免恶意数据影响查询。

String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement pstmt = conn.prepareStatement(sql);
pstmt.setString(1, username);
pstmt.setString(2, password);
ResultSet rs = pstmt.executeQuery();

2. **避免动态构造SQL**：尽量避免在代码中直接使用用户输入构建SQL语句，即使需要字符串拼接，也应该使用`PreparedStatement`或`CallableStatement`。

3. **使用ORM框架**：像Hibernate、MyBatis这样的ORM框架能自动处理SQL注入，它们会将参数映射到SQL语句中，减少了手动处理的机会。

4. **输入验证**：在接受用户输入之前，对数据进行校验，剔除特殊字符和不必要的内容，只保留合法的输入。

5. **使用存储过程**：如果可行，可以使用存储过程来执行复杂操作，外部仅传递参数，减少SQL语法层面的风险。