Как решить проблему SQL инъекции

Используйте PreparedStatement вместо обычного Statement. Он автоматически экранирует параметры, предотвращая инъекции. Пример:

String query = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement stmt = connection.prepareStatement(query);
stmt.setString(1, username);
stmt.setString(2, password);
ResultSet rs = stmt.executeQuery();

Дополнительные меры защиты:

• Валидация входящих данных (регулярные выражения, whitelist)
• Использование ORM (Hibernate, JPA)
• Принцип минимальных привилегий для БД пользователя
• Логирование и мониторинг подозрительных запросов

Никогда не конкатенируйте SQL-запросы со строковыми параметрами напрямую!