使用PreparedStatement防止SQL注入

防止SQL注入的关键是使用参数化查询，其中PreparedStatement是JDBC中提供的一个非常有用的工具。以下是一些基本的步骤和代码示例，展示如何使用PreparedStatement来防止SQL注入。

基本步骤：

1. 加载数据库驱动： 加载或注册JDBC驱动，以便Java程序可以与数据库进行通信。

2. 建立数据库连接： 使用DriverManager.getConnection()方法获取数据库连接。

3. 创建PreparedStatement对象： 通过connection.prepareStatement(sql)创建一个PreparedStatement对象，其中sql是带有占位符?的SQL语句。

4. 设置参数： 使用PreparedStatement的setXxx()方法设置SQL语句中的参数。

5. 执行查询： 调用executeQuery()执行查询或executeUpdate()进行更新、插入或删除操作。

6. 处理结果： 对于查询操作，使用ResultSet处理查询结果。

7. 关闭资源： 最后，关闭PreparedStatement和Connection对象，释放数据库资源。

代码示例：

import java.sql.*;

public class JdbcExample {
    public static void main(String[] args) {
        // 数据库连接配置
        String url = "jdbc:mysql://localhost:3306/yourdatabase";
        String username = "yourusername";
        String password = "yourpassword";

        // SQL语句中的表名和字段名需要根据实际情况替换
        String sql = "SELECT * FROM users WHERE username = ? AND password = ?";

        try {
            // 加载数据库驱动
            Class.forName("com.mysql.jdbc.Driver");

            // 建立数据库连接
            Connection connection = DriverManager.getConnection(url, username, password);

            // 创建PreparedStatement对象
            PreparedStatement preparedStatement = connection.prepareStatement(sql);

            // 设置参数
            preparedStatement.setString(1, "safeUsername"); // 用户输入的用户名
            preparedStatement.setString(2, "safePassword"); // 用户输入的密码

            // 执行查询
            ResultSet resultSet = preparedStatement.executeQuery();

            // 处理结果
            while (resultSet.next()) {
                // 假设我们有一个名为"id"的字段
                int id = resultSet.getInt("id");
                // 处理其他字段...
            }

            // 关闭资源
            resultSet.close();
            preparedStatement.close();
            connection.close();

        } catch (ClassNotFoundException e) {
            System.out.println("JDBC Driver not found");
            e.printStackTrace();
        } catch (SQLException e) {
            System.out.println("Database access error");
            e.printStackTrace();
        }
    }
}

在这个示例中，我们使用PreparedStatement来查询数据库中的用户信息。通过使用占位符?，我们避免了直接将用户输入拼接到SQL语句中，从而防止了SQL注入攻击。用户输入的值通过setString方法安全地传递给SQL语句。

注意：

需要根据数据库配置替换url、username和password变量的值。

根据数据库表结构调整SQL语句和结果处理逻辑。

确保异常处理逻辑能够满足需求，并且在生产环境中不要打印出敏感信息。