U moet PreparedStatement gebruiken .e.g.
String insert = "INSERT INTO customer(name,address,email) VALUES(?, ?, ?);";
PreparedStatement ps = connection.prepareStatement(insert);
ps.setString(1, name);
ps.setString(2, addre);
ps.setString(3, email);
ResultSet rs = ps.executeQuery();
Dit voorkomt injectieaanvallen.
De manier waarop de hacker het daar plaatst, is als de string die u invoegt ergens vandaan komt - b.v. een invoerveld op een webpagina, of een invoerveld op een formulier in een applicatie of iets dergelijks.