在Java中，可以通过使用预处理语句和参数化查询来防止注入攻击。预处理语句是指在执行SQL语句之前，先将查询中的变量以占位符的形式写入，然后再将变量的值传递给预处理语句进行查询。这样可以避免用户输入的恶意代码被解释为SQL命令。
以下是一个使用预处理语句和参数化查询的示例：
String sql = "SELECT * FROM users WHERE username = ?";
PreparedStatement pstmt = conn.prepareStatement(sql);
pstmt.setString(1, username);
ResultSet rs = pstmt.executeQuery();
在上面的示例中，?是一个占位符，当setString方法被调用时，传入的参数username会被安全地插入到SQL语句中，并不会被解释为SQL命令。
另外，还可以使用ORM（对象关系映射）工具，如Hibernate等，来帮助防止注入攻击。ORM工具会自动处理SQL语句的拼接和参数化，从而减少了手动编写SQL语句的风险。
总的来说，防止注入攻击的关键是避免直接拼接用户输入的数据到SQL语句中，并始终使用预处理语句和参数化查询。