sql注入是一种攻击方式，攻击者通过插入恶意sql代码来操控数据库，而防止sql注入的关键在于使用预编译语句（preparedstatement）和参数化查询。1. sql与参数分离，确保用户输入不会被解析为sql逻辑；2. 自动处理特殊字符，无需手动转义；3. 性能更优，数据库可缓存执行计划；4. 使用占位符?代替参数，按顺序设置参数值，确保类型安全；5. 避免拼接字符串，尤其不能用于表名、列名或sql关键字；6. 推荐使用orm框架如hibernate或mybatis，它们默认使用预编译；7. 注意mybatis中应使用#{}而非${}。总之，使用参数化查询是最简单有效的防范方式。
防止SQL注入的关键在于不拼接用户输入，而是使用预编译语句（PreparedStatement）和参数化查询。这样可以确保用户输入的内容不会被当作SQL代码执行，从根本上避免了注入风险。
什么是SQL注入？
SQL注入是一种常见的攻击方式，攻击者通过在输入中插入恶意SQL代码，欺骗系统执行非预期的数据库操作。例如：
SELECT * FROM users WHERE username = 'admin' AND password = '' OR '1'='1'
如果代码是直接拼接字符串生成SQL语句，像这样：
立即学习“Java免费学习笔记（深入）”；
String query = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";
那攻击者就可以通过输入恶意内容绕过验证，造成数据泄露甚至数据破坏。
为什么用预编译语句？
Java中的PreparedStatement是防止SQL注入的核心工具。它通过以下方式增强安全性：
- SQL与参数分离：SQL语句提前定义，用户输入作为参数传入，不会被解析为SQL逻辑。
- 自动处理特殊字符：不需要手动转义单引号、分号等字符，底层会自动处理。
- 性能更优：数据库可以缓存预编译语句的执行计划，提高执行效率。
如何正确使用参数化查询？
使用PreparedStatement时，应该避免拼接字符串，而是用占位符（?）代替参数。示例代码如下：
String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
try (PreparedStatement pstmt = connection.prepareStatement(sql)) {
pstmt.setString(1, username);
pstmt.setString(2, password);
ResultSet rs = pstmt.executeQuery();
// 处理结果集...
}几点注意事项：
- 占位符
?只能用于值的位置，不能用于表名、列名或SQL关键字。 - 参数按顺序设置，使用
setString、setInt等方法，确保类型安全。 - 不要手动拼接SQL语句，例如
"WHERE id IN (" + ids + ")"，这容易引入漏洞。
常见误区与替代方案
虽然PreparedStatement是最直接的解决方案，但在实际开发中，有些人会使用其他方式来防止SQL注入：
- 字符串过滤：比如替换单引号为两个单引号。这种方法容易遗漏或误判，不推荐。
- 使用ORM框架：如Hibernate、MyBatis，它们底层默认使用预编译语句，也能有效防止注入。
- 动态拼接SQL：尤其是在拼接查询条件时，容易回到老路。建议使用条件构建器（如JPA的Criteria API或MyBatis的动态SQL标签）。
如果你使用MyBatis，注意不要用${}，而要用#{}。前者是字符串替换，有注入风险；后者是参数化处理。
小结
防止SQL注入最简单有效的方式，就是永远使用参数化查询，而不是拼接字符串。Java中的PreparedStatement提供了原生支持，使用起来也不复杂。只要养成这个习惯，就能避免大多数SQL注入问题。
基本上就这些。
