为了防止SQL注入攻击，您可以采取以下Java代码编写方法：
1. 使用预编译的语句和参数化查询。
```java
String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement statement = connection.prepareStatement(sql);
statement.setString(1, username);
statement.setString(2, password);
ResultSet resultSet = statement.executeQuery();
```
在上面的示例中，我们使用了`PreparedStatement`类来创建一个预编译的语句。通过将参数作为占位符（例如`?`）传递给
预编译的语句，并使用`setString()`方法设置参数的值，可以避免直接将输入数据直接拼接到SQL语句中。
2. 对用户输入进行验证和过滤。
```java
String username = request.getParameter("username");
String password = request.getParameter("password");
// 验证和过滤输入
if (!isValidInput(username) || !isValidInput(password)) {
// 处理错误情况
}
// 进行数据库操作
```
在上述示例中，我们对从用户输入获取的`username`和`password`进行了验证和过滤。您可以使用正则表达式或其他适当
的方法来验证输入，并移除或转义可能包含恶意字符的内容。
3. 使用ORM框架。
ORM（对象关系映射）框架如Hibernate或MyBatis可以自动处理SQL注入问题。这些框架会自动将Java对象与数据库表进
行映射，并使用参数化查询来执行数据库操作，从而保护您的应用程序免受SQL注入攻击。
```java
String sql = "SELECT * FROM users WHERE username = :username AND password = :password";
Query query = session.createNativeQuery(sql);
query.setParameter("username", username);
query.setParameter("password", password);
List<User> users = query.getResultList();
```
上述示例中，我们使用Hibernate的查询语言（HQL）来执行查询，并通过命名参数`:username`和`:password`设置参数的
值。这样可以确保输入被正确地转义和处理，从而避免SQL注入攻击。
请注意，以上措施可以帮助减轻SQL注入风险，但仍建议采取其他安全措施，如输入验证、访问控制和安全编码实践等，以
确保应用程序的安全性。
