在Java中進行SQL拼接時，最好使用預編譯語句（Prepared Statement）來執行SQL語句，這樣可以避免SQL注入攻擊。
使用預編譯語句時，可以使用占位符（placeholder）來代替實際的參數值，然后再通過設置參數的方式將實際的參數值傳入預編譯語句。這樣可以確保參數值不會被解釋為SQL語句的一部分。
以下是一個使用預編譯語句進行SQL拼接的示例：
```java
String sql = "SELECT * FROM users WHERE username = ?";
String username = "testuser";
try {
Connection conn = DriverManager.getConnection(url, username, password);
PreparedStatement stmt = conn.prepareStatement(sql);
stmt.setString(1, username);
ResultSet rs = stmt.executeQuery();
while (rs.next()) {
// 處理查詢結果
}
rs.close();
stmt.close();
conn.close();
} catch (SQLException e) {
e.printStackTrace();
}
```
在這個示例中，使用了PreparedStatement來執行SQL查詢，并通過setString方法設置了參數值。這樣可以保證參數值不會導致SQL注入攻擊。
