Что нужно делать, чтобы не допустить возможность SQL Injection

Используй PreparedStatement вместо конкатенации строк в SQL-запросах. PreparedStatement автоматически экранирует параметры, предотвращая инъекции. Также можно использовать ORM (Hibernate, JPA) или библиотеки типа JDBI.

Пример безопасного кода:

String query = "SELECT * FROM users WHERE login = ? AND password = ?";
try (PreparedStatement stmt = connection.prepareStatement(query)) {
    stmt.setString(1, username);
    stmt.setString(2, password);
    ResultSet rs = stmt.executeQuery();
    // обработка результатов
}

Дополнительные меры:

• Валидация входных данных
• Принцип минимальных привилегий для DB-пользователя
• Использование хранимых процедур
• Регулярное обновление СУБД и драйверов