Jak se chránit před SQL injection, když je klauzule WHERE sestavována dynamicky z vyhledávacího formuláře?

Viděli jste JDBC NamedParameterJDBCTemplate ?

Můžete dělat věci jako:

String sql = "select count(0) from T_ACTOR where first_name = :first_name";
SqlParameterSource namedParameters = new MapSqlParameterSource("first_name", firstName);
return namedParameterJdbcTemplate.queryForInt(sql, namedParameters);

a dynamicky vytvořte řetězec dotazu a poté vytvořte SqlParameterSource podobně.