要避免SQL注入攻擊，可以使用Hibernate的參數化查詢來替代直接拼接SQL語句。參數化查詢通過給占位符綁定參數值來動態生成SQL語句，從而避免了直接拼接用戶輸入的數據到SQL語句中。
例如，可以使用如下的方式創建一個參數化查詢：
String hql = "SELECT * FROM User WHERE username = :username";
Query query = session.createQuery(hql);
query.setParameter("username", inputUsername);
List<User> users = query.list();
在上面的例子中，“:username” 是一個占位符，可以通過調用 query.setParameter("username", inputUsername) 方法來將用戶輸入的數據綁定到該占位符，從而避免了直接拼接用戶輸入到SQL語句中。
通過使用參數化查詢，可以有效地防止SQL注入攻擊，并保護數據庫的安全性。同時，Hibernate還提供了其他一些安全措施，如限制數據庫用戶的權限、使用安全的連接方式等，可以進一步加強數據庫的安全性。
