原生JDBC如何防止SQL注入？

原生JDBC中可以通过使用参数化查询来防止SQL注入攻击。SQL注入是一种攻击方式，通过在用户输入中插入恶意的SQL代码，从而破坏数据库的完整性和安全性。

使用参数化查询可以将用户输入的值作为参数传递给SQL语句，而不是将其直接拼接到SQL语句中。这样可以确保输入的值被视为数据而不是可执行的SQL代码。下面是一个示例：

String username = request.getParameter("username");
String password = request.getParameter("password");

String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement statement = connection.prepareStatement(sql);
statement.setString(1, username);
statement.setString(2, password);

ResultSet resultSet = statement.executeQuery();
// 处理查询结果

在上面的示例中，我们使用了`PreparedStatement`来创建一个带有占位符的SQL语句。然后，我们使用`setString`方法将参数值设置到对应的占位符位置。这样，即使用户输入中包含了恶意的SQL代码，也会被视为普通字符串，不会对数据库造成任何影响。

通过使用参数化查询，我们可以有效地防止SQL注入攻击，提高数据库的安全性。需要注意的是，在任何情况下都不应该信任和直接使用用户输入的数据，而应该对其进行适当的验证和处理。