Cómo ejecutar consultas SQL desde Java (y prevenir inyecciones SQL)

Nota: Traducido de la versión original en Inglés.

Para ejecutar consultas SQL en Java, necesitas un objeto Connection. Consulta el post anterior para aprender cómo obtener uno. Con este objeto, simplemente construye un nuevo PreparedStatement, establece los parámetros de la consulta (NUNCA USES CONCATENACIÓN DE CADENAS O LA APP SERÁ VULNERABLE A ATAQUES DE INYECCIÓN SQL, disculpa por gritar), y ejecuta la sentencia SQL. Dependiendo de si estás modificando datos o no, llamas a diferentes métodos para enviar la declaración a la base de datos.

Leer datos:

try (PreparedStatement statement = connection.prepareStatement("""
            SELECT column1, column2
            FROM table_name
        """)) {
    ResultSet resultSet = statement.**executeQuery**();
    while (resultSet.next()) {
        String val1 = resultSet.getString(1); // por índice de columna
        int val2 = resultSet.getInt("column2"); // por nombre de columna
        // ... usa val1 y val2 ...
    }
}

Insertar, actualizar, o eliminar datos:

try (PreparedStatement statement = connection.prepareStatement("""
            INSERT INTO table_name(column1, column2)
            VALUES (?, ?)
        """)) {
    statement.**setString**(1, someString);
    statement.**setInt**(2, someInteger);
    int rowsInserted = statement.**executeUpdate**();
}

Los métodos setString(int, String) y setInt(int, int) escapan caracteres especiales para que los agentes maliciosos no puedan usar una cadena maliciosa que contenga código SQL para realizar un ataque de inyección. Hay métodos similares para otros tipos de Java.

Consulta Tutorial JDBC Parte 2: Ejecutando Consultas SQL, para un tutorial más detallado o mira como implemento una aplicación Java de ejemplo desde cero usando JDBC y una base de datos MariaDB: