8.6 sqltoy防止sql注入 Sql注入这里单独列出来，是因为很多人不理解sql注入的原理，南辕北辙的通过过滤页面传过来的sql参数值检查是否有sql片段，如：select \* from table t where t.password=:password 如果将password变成(select password from table where id=xxx)就很容易穿透你的安全机制。 sqltoy至始至终sql处理并不是直接将参数进行拼接，而是将sql参数最终全部转换成？形式，通过PreparedStatement设置参数值。 如下面sqltoy的写法：  最终执行的sql语句: