if (param1 != null && !param1.isEmpty()) { sql.append(" AND column1 = '").append(param1).append("'"); }如何使用参数化查询来避免SQL注入风险

### 回答1：
您可以使用预编译语句（Prepared Statement）来执行参数化查询。预编译语句是一种特殊类型的语句，其中参数使用占位符（“?”）表示，而不是直接将参数值嵌入到SQL查询中。

例如，您可以将上述代码改为：

if (param1 != null && !param1.isEmpty()) {
    sql.append(" AND column1 = ?");
}

PreparedStatement pstmt = connection.prepareStatement(sql.toString());

if (param1 != null && !param1.isEmpty()) {
    pstmt.setString(1, param1);
}

ResultSet rs = pstmt.executeQuery();

在这个示例中，我们使用了一个预编译语句，并在查询中使用了一个占位符。然后，我们使用PreparedStatement对象的setString方法来设置占位符的值。

通过这种方式，您可以避免SQL注入攻击，因为输入的值不会被解释为SQL代码，而是作为参数传递给查询。

### 回答2：
&& param2 != null)这个条件判断语句的作用是什么？
这个条件判断语句的作用是在执行某些操作之前，先检查param1和param2是否同时不为null。如果param1和param2都不为null，则条件为真，程序将执行条件为真时设定的操作。如果param1和param2中任意一个为null，则条件为假，程序将不会执行条件为真时设定的操作。这个条件判断语句可以用来避免NullPointerException异常的发生。如果不进行这个判断，当param1或param2中任意一个为null时，如果试图对它们进行操作，就会抛出NullPointerException异常。通过使用这个条件判断语句，我们可以在执行操作之前确保param1和param2都不为null，从而提高程序的健壮性和可靠性。

### 回答3：
如果 (param1 != null)，意味着param1不为null。

在程序开发中，使用条件语句（if语句）可以根据不同的条件执行不同的操作。当判断条件为(param1 != null)时，表示param1不为空。"!="是不等于的意思，判断是否相等时不符合条件时返回True。所以如果param1的值不为null，条件判断为True，那么程序会执行if语句中的操作。

在这种情况下，可以在if语句中编写相关代码，以处理param1不为空的情况。可以执行特定的操作，比如打印param1的值、对其进行处理或者调用其他函数。

例如：

if (param1 != null) {
  System.out.println("param1的值为：" + param1);
  // 进行其他操作
}

以上代码段将会在param1不为null时，在控制台输出param1的值。

这样的条件判断对于处理可能为空的参数非常有用，可以避免在参数为空时引发异常，同时对程序的逻辑进行判断和处理。