在Java中，避免SQL注入的最佳方法是使用預編譯語句（PreparedStatement）和參數化查詢。這種方法可以確保用戶輸入的數據不會被解釋為SQL代碼，從而降低了SQL注入的風險。
以下是使用PreparedStatement的示例：
String query = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement preparedStatement = connection.prepareStatement(query);
preparedStatement.setString(1, username);
preparedStatement.setString(2, password);
ResultSet resultSet = preparedStatement.executeQuery();
在這個例子中，? 是一個占位符，用于表示將被后續設置的參數值。通過使用setString()方法設置參數值，而不是直接將參數值插入到SQL查詢字符串中，可以確保參數值不會被解釋為SQL代碼。
除了使用PreparedStatement之外，還可以采取以下措施來進一步提高安全性：
驗證用戶輸入：在處理用戶輸入之前，始終驗證其格式和內容。這有助于防止惡意用戶提交特定的輸入來執行SQL注入攻擊。
使用最小權限原則：確保應用程序的數據庫連接具有盡可能低的權限。這樣，即使攻擊者成功執行了SQL注入攻擊，他們也無法對數據庫造成太大的破壞。
更新和維護軟件：定期更新和維護應用程序、數據庫管理系統和其他相關組件，以確保已應用所有安全補丁和更新。
限制錯誤信息：不要在生產環境中顯示詳細的錯誤信息，因為這可能會向攻擊者泄露有關數據庫結構和配置的敏感信息。在生產環境中，只顯示通用的錯誤消息或錯誤代碼。
