Как избежать SQL-инъекцию

Используй PreparedStatement вместо обычного Statement. Он автоматически экранирует параметры, предотвращая инъекции. Пример:

String query = "SELECT * FROM users WHERE username = ? AND password = ?";
try (PreparedStatement stmt = connection.prepareStatement(query)) {
    stmt.setString(1, username);
    stmt.setString(2, password);
    ResultSet rs = stmt.executeQuery();
    // обработка результатов
}

Дополнительные меры:

• Валидация входных данных (регулярные выражения, whitelist)
• Использование ORM (Hibernate, JPA)
• Принцип минимальных привилегий для БД пользователя
• Хранимые процедуры (но с осторожностью)