java 防止sql注入% _

在Java中防止SQL注入主要有两种方法：

1. 使用参数化查询（Prepared Statements）：这是最常用且推荐的防止SQL注入的方法。通过将SQL查询语句中的参数使用占位符（？）表示，然后使用预编译的语句将参数传递给数据库，可以有效防止SQL注入攻击。例如：

String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement statement = connection.prepareStatement(sql);
statement.setString(1, username);
statement.setString(2, password);
ResultSet resultSet = statement.executeQuery();

2. 使用输入验证和过滤：在接收用户输入并构建SQL查询之前，对用户输入进行验证和过滤是一种有效的防止SQL注入的方法。可以使用正则表达式或特定的输入验证函数对用户输入进行验证，确保输入符合预期的格式。同时，可以使用字符串替换或转义函数对用户输入中可能包含的敏感字符进行过滤或转义。例如：

String username = sanitizeInput(userInput);
String password = sanitizeInput(userInput);
String sql = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";
Statement statement = connection.createStatement();
ResultSet resultSet = statement.executeQuery(sql);

需要注意的是，在使用输入验证和过滤时，确保使用可信任的过滤函数或库，并避免手动构建SQL查询语句，以防止其他类型的安全漏洞。而参数化查询（Prepared Statements）是更为推荐和安全的方法。