在Java中，可以通過使用預處理語句和參數化查詢來防止注入攻擊。預處理語句是指在執行SQL語句之前，先將查詢中的變量以占位符的形式寫入，然后再將變量的值傳遞給預處理語句進行查詢。這樣可以避免用戶輸入的惡意代碼被解釋為SQL命令。
以下是一個使用預處理語句和參數化查詢的示例：
String sql = "SELECT * FROM users WHERE username = ?";
PreparedStatement pstmt = conn.prepareStatement(sql);
pstmt.setString(1, username);
ResultSet rs = pstmt.executeQuery();
在上面的示例中，?是一個占位符，當setString方法被調用時，傳入的參數username會被安全地插入到SQL語句中，并不會被解釋為SQL命令。
另外，還可以使用ORM（對象關系映射）工具，如Hibernate等，來幫助防止注入攻擊。ORM工具會自動處理SQL語句的拼接和參數化，從而減少了手動編寫SQL語句的風險。
總的來說，防止注入攻擊的關鍵是避免直接拼接用戶輸入的數據到SQL語句中，并始終使用預處理語句和參數化查詢。
