便宜VPS网为什么PrepareStatement可以防止sql注入
之所以PreparedStatement能防止注入，是因为它把单引号转义了，变成了\\，这样一来，就无法截断SQL语句，进而无法拼接SQL语句，基本上没有办法注入了。
其实是预编译功能，用preparedstatement就会把sql的结构给数据库预编译。
PreparedStatement ps = con.prepareStatement(sql)；ps.setInt(1，id)；//这里的数据库语句所用到的参数要被设置的，如果你传入了错的值，或不同类型的值，它在插入到数据库语句中会编译不通过，这也就防止了SQL注入。
也许还会回答用PreparedStatement可以防止SQL注入。
为了避免篇幅过长，我这里只贴代码片段，希望读者能有一定的基础。
用预编译的方式查询是不是能够杜绝SQL注入
使用安全的编程方式：编写安全的代码可以有效防止SQL注入攻击，如使用预编译语句、使用参数化查询、对用户输入进行验证等。
这当然是一种很安全的方式，但我们平时开发中，可能不需要这种死板的方式。MyBatis框架作为一款半自动化的持久层框架，其SQL语句都要我们自己手动编写，这个时候当然需要防止SQL注入。
这是因为MyBatis启用了预编译功能，在SQL执行前，会先将上面的SQL发送给数据库进行编译；执行时，直接使用编译好的SQL，替换占位符“？”就可以了。
针对 SQL 注入漏洞的攻击可能性，可以采取以下几种防范措施： 使用参数化的 SQL 查询。使用预编译语句能有效避免 SQL 注入攻击。 过滤用户输入数据。
就可以了。因为sql注入只能对编译过程起作用，所以这样的方式就很好地避免了sql注入的问题。
...预处理PrepareStatement为什么能起到防止SQL注入的作用
之所以PreparedStatement能防止注入，是因为它把单引号转义了，变成了\\，这样一来，就无法截断SQL语句，进而无法拼接SQL语句，基本上没有办法注入了。
其实是预编译功能，用preparedstatement就会把sql的结构给数据库预编译。
也许你会回答PreparedStatement为预处理语句，可以提高数据库执行效率。也许还会回答用PreparedStatement可以防止SQL注入。
为了避免篇幅过长，我这里只贴代码片段，希望读者能有一定的基础。
PreparedStatement ps = con.prepareStatement(sql)；ps.setInt(1，id)；//这里的数据库语句所用到的参数要被设置的，如果你传入了错的值，或不同类型的值，它在插入到数据库语句中会编译不通过，这也就防止了SQL注入。
struts2不涉及sql，要防止sql注入，只需要你在持久层创建Statement对象时，调用Connection对象的prepareStatement方法创建出PreparedStatement对象，用该对象来发送sql语句即可。该对象发送的sql是预编译的，所以可以防止sql注入。
