在Java中，應對SQL注入攻擊的最佳方法是使用預編譯語句（PreparedStatement）和參數化查詢。這種方法可以有效防止惡意用戶通過插入惡意SQL代碼來操縱查詢。
以下是如何使用PreparedStatement來防止SQL注入的示例：
PreparedStatement創建SQL查詢：String query = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement preparedStatement = connection.prepareStatement(query);
preparedStatement.setString(1, username);
preparedStatement.setString(2, password);
ResultSet resultSet = preparedStatement.executeQuery();
通過使用?作為參數占位符，而不是直接將參數插入到SQL查詢中，可以有效防止SQL注入攻擊。當執行查詢時，JDBC驅動程序會自動處理參數的轉義和引用，確保查詢的安全性。
除了使用PreparedStatement之外，還可以采取其他一些措施來進一步提高安全性，例如：
限制數據庫用戶的權限：為數據庫用戶分配盡可能低的權限，以限制他們可以執行的查詢類型和數據訪問。
驗證和清理輸入數據：在將用戶輸入的數據用于SQL查詢之前，對其進行驗證和清理，以確保數據的合法性和安全性。
使用Web應用防火墻（WAF）：部署WAF可以幫助檢測和阻止SQL注入攻擊。
遵循最小權限原則：確保應用程序僅訪問所需的最小數據庫權限，以減少潛在的安全風險。
