WHERE句が検索フォームから動的に構築されるときにSQLインジェクションから保護するにはどうすればよいですか？

JDBC NamedParameterJDBCTemplate ？

次のようなことができます：

String sql = "select count(0) from T_ACTOR where first_name = :first_name";
SqlParameterSource namedParameters = new MapSqlParameterSource("first_name", firstName);
return namedParameterJdbcTemplate.queryForInt(sql, namedParameters);

クエリ文字列を動的に作成してから、SqlParameterSourceを作成します 同様に。