Как бороться с SQL-инъекцией в БД

Используйте PreparedStatement вместо обычного Statement – он автоматически экранирует параметры. Пример:

String query = "SELECT * FROM users WHERE username = ? AND password = ?";
try (PreparedStatement stmt = connection.prepareStatement(query)) {
    stmt.setString(1, username);
    stmt.setString(2, password);
    ResultSet rs = stmt.executeQuery();
    // обработка результата
}

Дополнительные меры:

• Валидация входящих данных (регулярки, whitelist)
• ORM (Hibernate, JPA) – используют параметризованные запросы
• Минимальные права для пользователя БД
• Использование хранимых процедур (но с осторожностью)