1、之所以PreparedStatement能防止注入，是因为它把单引号转义了，变成了\，这样一来，就无法截断SQL语句，进而无法拼接SQL语句，基本上没有办法注入了。
成都创新互联长期为数千家客户提供的网站建设服务，团队从业经验10年，关注不同地域、不同群体，并针对不同对象提供差异化的产品和服务；打造开放共赢平台，与合作伙伴共同营造健康的互联网生态环境。为称多企业提供专业的成都做网站、成都网站设计，称多网站改版等技术服务。拥有十年丰富建站经验和众多成功案例,为您定制开发。
2、+username；此时不管密码的什么都能查询到数据。相当于绕过验证了。
3、当运行时动态地把参数传给PreprareStatement时，即使参数里有敏感字符如 or 1=1也数据库会作为一个参数一个字段的属性值来处理而不会作为一个SQL指令，所以就起到了SQL注入的作用了。
4、用PreparedStatement来代替Statement会使代码多出几行，但这样的代码无论从可读性还是可维护性上来说.都比直接用Statement的代码高很多档次PreparedStatement尽最大可能提高性能。
5、preparestatement是一种预编译的SQL语句，它可以提高数据库查询的性能。它可以防止SQL注入攻击，因为它只允许使用参数化查询。
1、使用PDO防注入。这是最简单直接的一种方式，当然低版本的PHP一般不支持PDO方式去操作，那么就只能采用其它方式。采用escape函数过滤非法字符。
2、防止注入最简单的办法就是本地生成html文件，然后上传到网站空间内，全站的html是无法被注入攻击的，除非服务器被干掉。
3、防范SQL注入 - 使用mysql_real_escape_string()函数 在数据库操作的代码中用这个函数mysql_real_escape_string()可以将代码中特殊字符过滤掉，如引号等。
1、数据量大了，搜索的需求就自然而然地浮出水面，你得弄一个支持全文索引的 搜索引擎 (如Elasticsearch ，Solr)出来。
2、J2EE将组成一个完整企业级应用的不同部分纳入不同的容器(Container)，每个容器中都包含若干组件(这些组件是需要部署在相应容器中的)，同时各种组件都能使用各种J2EE Service/API。
3、JSP最擅长的是企业级应用开发，而不是和ASP一样擅长做网站，当然JSP也可以做网站，做的网站的健壮性也是比较强的，比如可以防止大部分的SQL注入。
4、利用JDBC API可以执行一般的SQL语句、动态SQL语句及带IN和OUT参数的存储过程。Java中的JDBC相当于Microsoft平台中的ODBC(Open Database Connectivity)。
