Как бороться с SQL-инъекцией в JDBC

Используйте PreparedStatement вместо Statement для параметризованных запросов. Это предотвращает подстановку зловредного SQL-кода в параметры.

Пример:

String query = "SELECT * FROM users WHERE username = ? AND password = ?";
try (PreparedStatement stmt = connection.prepareStatement(query)) {
    stmt.setString(1, username); // безопасная подстановка
    stmt.setString(2, password);
    ResultSet rs = stmt.executeQuery();
    // обработка результата
}

Дополнительные меры:

• Валидация входных данных (регулярные выражения, whitelist)
• Использование ORM (Hibernate, JPA) с их встроенной защитой
• Ограничение прав пользователя БД (минимальные привилегии)
• Экранирование спецсимволов (если PreparedStatement недоступен)