java防止sql注入校验

在Java中防止SQL注入通常采用参数化查询或者是预编译语句（PreparedStatement）。这两种方法都可以有效地保护应用程序免受恶意SQL代码的攻击：

1. **参数化查询**：将用户输入的数据作为占位符（如`?`）传递给SQL语句，并通过PreparedStatement对象设置值。数据库会自动处理输入的转义，避免了直接拼接字符串可能导致的安全风险。

String sql = "SELECT * FROM users WHERE username = ?";
PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setString(1, userInput); // 设置参数
ResultSet rs = pstmt.executeQuery();

2. **预编译语句**：先创建一个PreparedStatement对象并准备SQL模板，然后多次执行，每次传入不同的参数。这种方式可以一次编译SQL，多次执行，减少解析开销，并同样能够防止注入。

PreparedStatement pstmt = connection.prepareStatement("SELECT * FROM users WHERE username = ?");
pstmt.setString(1, userInput);
// 使用pstmt获取结果...