ITViewing

使用参数化查询（PreparedStatement）

参数化查询是防止SQL注入的最有效方法之一。通过将查询参数化，将用户提供的输入值作为参数传递给查询，而不是将输入值直接拼接到SQL语句中。这样可以确保输入值被正确地转义和处理，减少SQL注入的风险。

例如，以下代码使用Statement执行查询：

String sql = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";
Statement stmt = connection.createStatement();
ResultSet rs = stmt.executeQuery(sql);