java防sql注入代码怎么写

为了防止SQL注入攻击，您可以采取以下Java代码编写方法：

1. 使用预编译的语句和参数化查询。

String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement statement = connection.prepareStatement(sql);
statement.setString(1, username);
statement.setString(2, password);
ResultSet resultSet = statement.executeQuery();

在上面的示例中，我们使用了PreparedStatement类来创建一个预编译的语句。通过将参数作为占位符（例如?）传递给预编译的语句，并使用setString()方法设置参数的值，可以避免直接将输入数据直接拼接到SQL语句中。

2. 对用户输入进行验证和过滤。

String username = request.getParameter("username");
String password = request.getParameter("password");
// 验证和过滤输入
if (!isValidInput(username) || !isValidInput(password)) {
    // 处理错误情况
}
// 进行数据库操作

在上述示例中，我们对从用户输入获取的username和password进行了验证和过滤。您可以使用正则表达式或其他适当的方法来验证输入，并移除或转义可能包含恶意字符的内容。

3. 使用ORM框架。

ORM（对象关系映射）框架如Hibernate或MyBatis可以自动处理SQL注入问题。这些框架会自动将Java对象与数据库表进行映射，并使用参数化查询来执行数据库操作，从而保护您的应用程序免受SQL注入攻击。

String sql = "SELECT * FROM users WHERE username = :username AND password = :password";
Query query = session.createNativeQuery(sql);
query.setParameter("username", username);
query.setParameter("password", password);
List<User> users = query.getResultList();

上述示例中，我们使用Hibernate的查询语言（HQL）来执行查询，并通过命名参数:username和:password设置参数的值。这样可以确保输入被正确地转义和处理，从而避免SQL注入攻击。

请注意，以上措施可以帮助减轻SQL注入风险，但仍建议采取其他安全措施，如输入验证、访问控制和安全编码实践等，以确保应用程序的安全性。