在Java中使用${}语法可以引用变量或表达式，但是如果不加处理的话，这种方法容易受到SQL注入攻击。为了防止SQL注入，可以在使用${}语法时，使用PreparedStatement和参数化查询。 PreparedStatement可以预编译SQL语句，将需要传递的参数作为占位符，而不是直接将参数拼接到SQL语句中。这样就可以避免一些常见的安全漏洞。 在PreparedStatement中，可以使用?作为占位符，然后使用setXXX()方法设置参数的值，其中XXX表示数据类型。例如，如果要查询用户名为username的用户信息，可以使用以下代码： String username = “username“; PreparedStatement stmt = conn.prepareStatement(“SELECT * FROM users WHERE username = ?“); stmt.setString(1, username); ResultSet rs = stmt.executeQuery(); 这样就可以避免SQL注入攻击，因为参数会被正确地转义和处理，从而保证SQL语句的安全性。 在Service层做字符串校验也是一种有效的防范措施，但是它并不能完全防止SQL注入攻击。因此，结合使用PreparedStatement和参数化查询，以及其他防御措施，如输入过滤和验证，才能更好地保护应用程序免受SQL注入攻击。
