在JDBC（Java Database Connectivity）编程中，SQL注入是一个严重的安全隐患。攻击者可以通过构造恶意的SQL语句，绕过应用程序的验证机制，对数据库进行非法操作，如窃取敏感信息、修改数据甚至删除整个数据库。因此，防止SQL注入是JDBC编程中至关重要的一环。本文将详细介绍JDBC编程中防止SQL注入的关键策略。

使用预编译语句（PreparedStatement）

预编译语句是防止SQL注入最常用且最有效的方法。在JDBC中，PreparedStatement接口继承自Statement接口，它允许在执行SQL语句之前对其进行预编译。预编译语句会将SQL语句和参数分开处理，从而避免了恶意输入被解释为SQL代码的风险。

下面是一个使用预编译语句的示例：

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class PreparedStatementExample {
    public static void main(String[] args) {
        String url = "jdbc:mysql://localhost:3306/mydb";
        String username = "root";
        String password = "password";
        String userInput = "John'; DROP TABLE users; -- ";

        try (Connection connection = DriverManager.getConnection(url, username, password)) {
            String sql = "SELECT * FROM users WHERE username = ?";
            PreparedStatement preparedStatement = connection.prepareStatement(sql);
            preparedStatement.setString(1, userInput);

            ResultSet resultSet = preparedStatement.executeQuery();
            while (resultSet.next()) {
                System.out.println(resultSet.getString("username"));
            }
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}

在上述示例中，使用了预编译语句"PreparedStatement"，通过"setString"方法将用户输入作为参数传递给SQL语句。这样，即使输入包含恶意的SQL代码，也会被当作普通的字符串处理，而不会被执行。

输入验证和过滤

除了使用预编译语句，对用户输入进行验证和过滤也是防止SQL注入的重要手段。在接收用户输入时，应该对输入进行严格的验证，确保输入符合预期的格式和范围。

例如，如果用户输入的是一个整数，应该验证输入是否为有效的整数：

import java.util.Scanner;

public class InputValidationExample {
    public static void main(String[] args) {
        Scanner scanner = new Scanner(System.in);
        System.out.print("请输入一个整数：");
        String input = scanner.nextLine();

        try {
            int number = Integer.parseInt(input);
            System.out.println("输入的整数是：" + number);
        } catch (NumberFormatException e) {
            System.out.println("输入不是有效的整数，请重新输入。");
        }
    }
}

此外，还可以使用正则表达式对输入进行过滤，只允许特定的字符和格式。例如，只允许输入字母和数字：

import java.util.regex.Pattern;

public class InputFilteringExample {
    public static boolean isValidInput(String input) {
        String regex = "^[a-zA-Z0-9]+$";
        return Pattern.matches(regex, input);
    }

    public static void main(String[] args) {
        String userInput = "John123";
        if (isValidInput(userInput)) {
            System.out.println("输入有效。");
        } else {
            System.out.println("输入包含非法字符，请重新输入。");
        }
    }
}

最小化数据库权限

为了降低SQL注入攻击的风险，应该为数据库用户分配最小的必要权限。如果应用程序只需要查询数据，那么就不应该为该用户分配修改或删除数据的权限。

例如，在MySQL中，可以使用以下语句创建一个只具有查询权限的用户：

CREATE USER 'readonly_user'@'localhost' IDENTIFIED BY 'password';
GRANT SELECT ON mydb.* TO 'readonly_user'@'localhost';

这样，即使攻击者成功进行了SQL注入，由于用户权限有限，也无法对数据库进行严重的破坏。

使用存储过程

存储过程是一组预编译的SQL语句，存储在数据库中，可以通过名称调用。使用存储过程可以将SQL逻辑封装在数据库端，减少了在应用程序中直接编写SQL语句的风险。

下面是一个使用存储过程的示例：

-- 创建存储过程
DELIMITER //
CREATE PROCEDURE GetUserByUsername(IN username VARCHAR(255))
BEGIN
    SELECT * FROM users WHERE username = username;
END //
DELIMITER ;

-- 在Java中调用存储过程
import java.sql.CallableStatement;
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.SQLException;

public class StoredProcedureExample {
    public static void main(String[] args) {
        String url = "jdbc:mysql://localhost:3306/mydb";
        String username = "root";
        String password = "password";
        String userInput = "John";

        try (Connection connection = DriverManager.getConnection(url, username, password)) {
            String sql = "{call GetUserByUsername(?)}";
            CallableStatement callableStatement = connection.prepareCall(sql);
            callableStatement.setString(1, userInput);

            ResultSet resultSet = callableStatement.executeQuery();
            while (resultSet.next()) {
                System.out.println(resultSet.getString("username"));
            }
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}

存储过程可以对输入参数进行验证和过滤，进一步增强了安全性。

定期更新和维护数据库

数据库厂商会不断发布安全补丁来修复已知的安全漏洞。因此，定期更新数据库软件到最新版本是非常重要的。此外，还应该对数据库进行定期的备份和维护，以防止数据丢失和损坏。

例如，在MySQL中，可以使用以下命令备份数据库：

sh
mysqldump -u root -p mydb > backup.sql

在恢复数据库时，可以使用以下命令：

sh
mysql -u root -p mydb < backup.sql

日志记录和监控

为了及时发现和处理SQL注入攻击，应该对数据库操作进行日志记录和监控。通过分析日志，可以发现异常的SQL语句和操作，及时采取措施进行防范。

例如，可以在应用程序中使用日志框架（如Log4j）记录数据库操作：

import org.apache.logging.log4j.LogManager;
import org.apache.logging.log4j.Logger;

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class LoggingExample {
    private static final Logger logger = LogManager.getLogger(LoggingExample.class);

    public static void main(String[] args) {
        String url = "jdbc:mysql://localhost:3306/mydb";
        String username = "root";
        String password = "password";
        String userInput = "John";

        try (Connection connection = DriverManager.getConnection(url, username, password)) {
            String sql = "SELECT * FROM users WHERE username = ?";
            PreparedStatement preparedStatement = connection.prepareStatement(sql);
            preparedStatement.setString(1, userInput);

            logger.info("执行SQL语句：" + sql + "，参数：" + userInput);
            ResultSet resultSet = preparedStatement.executeQuery();
            while (resultSet.next()) {
                System.out.println(resultSet.getString("username"));
            }
        } catch (SQLException e) {
            logger.error("数据库操作出错：" + e.getMessage());
            e.printStackTrace();
        }
    }
}

同时，可以使用数据库监控工具（如MySQL Enterprise Monitor）对数据库的性能和安全进行实时监控。

综上所述，防止SQL注入需要综合使用多种策略。使用预编译语句是最基本和最重要的方法，同时结合输入验证和过滤、最小化数据库权限、使用存储过程、定期更新和维护数据库以及日志记录和监控等措施，可以有效地提高JDBC编程的安全性，保护数据库免受SQL注入攻击的威胁。