Java-转义字符串以防止SQL注入

PreparedStatement是可行的方法，因为它们使SQL注入成为不可能。这是一个简单的示例，将用户的输入作为参数：

public insertUser(String name, String email) {   Connection conn = null;   PreparedStatement stmt = null;   try {      conn = setupTheDatabaseConnectionSomehow();      stmt = conn.prepareStatement("INSERT INTO person (name, email) values (?, ?)");      stmt.setString(1, name);      stmt.setString(2, email);      stmt.executeUpdate();   }   finally {      try {         if (stmt != null) { stmt.close(); }      }      catch (Exception e) {         // log this error      }      try {         if (conn != null) { conn.close(); }      }      catch (Exception e) {         // log this error      }   }}

无论名称和电子邮件中包含什么字符，这些字符都将直接放置在数据库中。它们不会以任何方式影响INSERT语句。

对于不同的数据类型，有不同的设置方法-使用哪种方法取决于数据库字段是什么。例如，如果数据库中有一个INTEGER列，则应使用一个

setInt