java 预编译SQL防止SQL注入 querysql 占位符写法

在Java中，预编译SQL（Prepared Statement）是一种强大的技术，用于防止SQL注入攻击，尤其是在使用JDBC（Java Database Connectivity）操作数据库时。它的原理是在编译阶段生成一个SQL模板，其中一些值会被占位符（如`?`、`$1`等）替换，而在执行时再动态绑定实际参数。这种方法可以确保传递给数据库的参数不会被解释为SQL语法。

以下是使用JDBC的PreparedStatement示例写法：

String sql = "SELECT * FROM users WHERE username=? AND password=?";
Connection conn = ...; // 获取连接
PreparedStatement pstmt = conn.prepareStatement(sql);
pstmt.setString(1, userInputUsername); // 设置第一个占位符的值
pstmt.setString(2, userInputPassword); // 设置第二个占位符的值
ResultSet rs = pstmt.executeQuery();

在这个例子中，`?`作为占位符，保证了即使用户输入包含恶意的SQL字符，也不会被执行，而是被当作字符串处理。这样的写法提高了代码的安全性和性能，因为数据库只需要解析一次查询语句，并且参数绑定是通过索引来完成的，而不是每次都构造新的SQL字符串。