StringEscapeUtils防止sql注入

import org.apache.commons.lang.StringEscapeUtils;
public class SqlEscapeExample {
　　public static void main(String[] args) {
　　　　String userName = ”1' or '1'='1”;
　　　　String password = ”123456”;
　　　　userName = StringEscapeUtils.escapeSql(userName);
　　　　password = StringEscapeUtils.escapeSql(password);
　　　　String sql = ”SELECT COUNT(userId) FROM t_user WHERE userName='”
　　　　　　+ userName + ”' AND password ='” + password + ”'”;
　　　　System.out.println(sql);
　　}
}

　　事实上，StringEscapeUtils 不但提供了 SQL 特殊字符转义处理的功能，还提供了 HTML、XML、JavaScript、Java 特殊字符的转义和还原的方法。如果您不介意引入 jakarta commons lang 类包，我们更推荐您使用 StringEscapeUtils 工具类完成特殊字符转义处理的工作。