Hoe te beschermen tegen SQL-injectie wanneer de WHERE-component dynamisch wordt opgebouwd vanuit het zoekformulier?

Heb je de JDBC NamedParameterJDBCTemplate ?

Je kunt dingen doen als:

String sql = "select count(0) from T_ACTOR where first_name = :first_name";
SqlParameterSource namedParameters = new MapSqlParameterSource("first_name", firstName);
return namedParameterJdbcTemplate.queryForInt(sql, namedParameters);

en bouw uw queryreeks dynamisch op en bouw vervolgens uw SqlParameterSource op dezelfde manier.