对啊，如果最终传给Prepared Statement的createStatement()的语句也是用用户输入拼出来的话，
即使是用了Prepared Statement，也救不了。

典型误用：
PreparedStatement stmt = conn.createStatement("INSERT INTO students VALUES('" + user + "')");
stmt.execute();

user的值为：
Sam'); DROP TABLE students;--

【 在 canper 的大作中提到: 】
: 别说#$点问题了，用了mybatis还拼sql的也大把
--
修改:z16166 FROM 123.118.64.*
FROM 123.118.64.*