在Java开发中，SQL注入是一个严重的安全隐患。攻击者可以通过构造特殊的输入，改变SQL语句的原意，从而执行恶意操作，如获取敏感数据、修改数据甚至删除数据等。因此，在编写Java代码时，防止SQL注入是至关重要的。本文将详细介绍Java代码中防止SQL注入的正确写法示例。

一、SQL注入的原理及危害

SQL注入是指攻击者通过在应用程序的输入字段中添加恶意的SQL代码，来改变原本SQL语句的逻辑。例如，在一个登录界面，正常的SQL查询语句可能是“SELECT * FROM users WHERE username = '输入的用户名' AND password = '输入的密码'”。如果攻击者在用户名或密码输入框中输入特殊字符，如“' OR '1'='1”，那么最终的SQL语句就会变成“SELECT * FROM users WHERE username = '' OR '1'='1' AND password = ''”，由于“'1'='1'”始终为真，攻击者就可以绕过正常的身份验证，直接登录系统。

SQL注入的危害极大，它可以导致数据泄露，攻击者可以获取数据库中的敏感信息，如用户的个人信息、商业机密等；还可以进行数据篡改，修改数据库中的重要数据；甚至可以删除数据库中的数据，造成不可挽回的损失。

二、使用PreparedStatement防止SQL注入

在Java中，使用PreparedStatement是防止SQL注入的最常用方法。PreparedStatement是Statement的子接口，它会对SQL语句进行预编译，将用户输入的参数作为占位符，而不是直接拼接在SQL语句中。这样，即使用户输入了恶意的SQL代码，也不会改变SQL语句的原意。

以下是一个使用PreparedStatement进行用户登录验证的示例代码：

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class LoginExample {
    private static final String DB_URL = "jdbc:mysql://localhost:3306/testdb";
    private static final String DB_USER = "root";
    private static final String DB_PASSWORD = "password";

    public static boolean login(String username, String password) {
        Connection conn = null;
        PreparedStatement stmt = null;
        ResultSet rs = null;
        boolean isLoggedIn = false;

        try {
            // 加载数据库驱动
            Class.forName("com.mysql.cj.jdbc.Driver");
            // 建立数据库连接
            conn = DriverManager.getConnection(DB_URL, DB_USER, DB_PASSWORD);
            // 定义SQL语句，使用占位符
            String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
            // 创建PreparedStatement对象
            stmt = conn.prepareStatement(sql);
            // 设置占位符的值
            stmt.setString(1, username);
            stmt.setString(2, password);
            // 执行查询
            rs = stmt.executeQuery();
            // 判断是否有结果
            if (rs.next()) {
                isLoggedIn = true;
            }
        } catch (ClassNotFoundException | SQLException e) {
            e.printStackTrace();
        } finally {
            // 关闭资源
            try {
                if (rs != null) rs.close();
                if (stmt != null) stmt.close();
                if (conn != null) conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
        return isLoggedIn;
    }

    public static void main(String[] args) {
        String username = "testuser";
        String password = "testpassword";
        boolean result = login(username, password);
        if (result) {
            System.out.println("登录成功");
        } else {
            System.out.println("登录失败");
        }
    }
}

在上述代码中，我们使用了PreparedStatement来执行SQL查询。通过使用占位符“?”，将用户输入的用户名和密码作为参数传递给PreparedStatement，而不是直接拼接在SQL语句中。这样，即使用户输入了恶意的SQL代码，也不会影响SQL语句的执行。

三、使用正则表达式过滤用户输入

除了使用PreparedStatement，还可以使用正则表达式对用户输入进行过滤，只允许合法的字符输入。例如，在一个注册页面，要求用户输入的用户名只能包含字母和数字，可以使用以下代码进行过滤：

import java.util.regex.Pattern;

public class InputFilter {
    private static final Pattern USERNAME_PATTERN = Pattern.compile("^[a-zA-Z0-9]+$");

    public static boolean isValidUsername(String username) {
        return USERNAME_PATTERN.matcher(username).matches();
    }

    public static void main(String[] args) {
        String username = "testuser123";
        if (isValidUsername(username)) {
            System.out.println("用户名合法");
        } else {
            System.out.println("用户名不合法");
        }
    }
}

在上述代码中，我们定义了一个正则表达式“^[a-zA-Z0-9]+$”，用于匹配只包含字母和数字的字符串。通过使用Pattern和Matcher类，我们可以检查用户输入的用户名是否符合要求。如果不符合要求，则提示用户重新输入。

四、使用存储过程

存储过程是一组预先编译好的SQL语句，存储在数据库中。使用存储过程也可以有效地防止SQL注入。以下是一个使用存储过程进行用户登录验证的示例：

首先，在数据库中创建一个存储过程：

DELIMITER //
CREATE PROCEDURE LoginUser(IN p_username VARCHAR(255), IN p_password VARCHAR(255))
BEGIN
    SELECT * FROM users WHERE username = p_username AND password = p_password;
END //
DELIMITER ;

然后，在Java代码中调用该存储过程：

import java.sql.CallableStatement;
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.SQLException;

public class LoginWithStoredProcedure {
    private static final String DB_URL = "jdbc:mysql://localhost:3306/testdb";
    private static final String DB_USER = "root";
    private static final String DB_PASSWORD = "password";

    public static boolean login(String username, String password) {
        Connection conn = null;
        CallableStatement stmt = null;
        ResultSet rs = null;
        boolean isLoggedIn = false;

        try {
            // 加载数据库驱动
            Class.forName("com.mysql.cj.jdbc.Driver");
            // 建立数据库连接
            conn = DriverManager.getConnection(DB_URL, DB_USER, DB_PASSWORD);
            // 调用存储过程
            String sql = "{call LoginUser(?, ?)}";
            stmt = conn.prepareCall(sql);
            // 设置输入参数
            stmt.setString(1, username);
            stmt.setString(2, password);
            // 执行存储过程
            rs = stmt.executeQuery();
            // 判断是否有结果
            if (rs.next()) {
                isLoggedIn = true;
            }
        } catch (ClassNotFoundException | SQLException e) {
            e.printStackTrace();
        } finally {
            // 关闭资源
            try {
                if (rs != null) rs.close();
                if (stmt != null) stmt.close();
                if (conn != null) conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
        return isLoggedIn;
    }

    public static void main(String[] args) {
        String username = "testuser";
        String password = "testpassword";
        boolean result = login(username, password);
        if (result) {
            System.out.println("登录成功");
        } else {
            System.out.println("登录失败");
        }
    }
}

在上述代码中，我们创建了一个存储过程“LoginUser”，并在Java代码中调用该存储过程。存储过程会对输入的参数进行处理，从而避免了SQL注入的风险。

五、总结

在Java开发中，防止SQL注入是保障系统安全的重要措施。本文介绍了几种常见的防止SQL注入的方法，包括使用PreparedStatement、正则表达式过滤用户输入和使用存储过程。其中，使用PreparedStatement是最常用、最有效的方法，它可以对SQL语句进行预编译，将用户输入的参数作为占位符，从而避免了SQL注入的风险。同时，结合正则表达式过滤用户输入和使用存储过程，可以进一步提高系统的安全性。在实际开发中，我们应该根据具体的需求和场景，选择合适的方法来防止SQL注入。

此外，我们还应该加强对用户输入的验证和过滤，避免直接将用户输入的数据用于SQL查询。同时，定期对系统进行安全审计和漏洞扫描，及时发现和修复潜在的安全问题。只有这样，才能确保系统的安全性，保护用户的敏感信息。