PreparedStatement是Java中用于執行預編譯SQL語句的一種方式，它可以有效地防止SQL注入攻擊。當你使用PreparedStatement時，參數會被自動轉義，從而避免了惡意用戶通過插入特殊字符來改變SQL語句的結構。
以下是如何使用PreparedStatement防止SQL注入的示例：
String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
setXXX()方法為占位符設置參數值。這些方法會自動處理特殊字符，從而防止SQL注入。PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setString(1, "username_value");
pstmt.setString(2, "password_value");
executeQuery()方法執行SQL查詢。ResultSet resultSet = pstmt.executeQuery();
通過這種方式，你可以確保用戶輸入的數據不會被解釋為SQL代碼的一部分，從而有效地防止SQL注入攻擊。
