如何避免java中的单引号问题来创建准备好的statment查询

Question

示例：更新EMPLOYEES设置NAME =＆＃39;＆＃39; EMP123＆＃39;＆＃39;其中ID = 100;

这里NAME字段由用户交替给出，可以是用户给出带单引号的名称。它显示的错误就像 ORA-00933：SQL命令未正确结束

Answer 1

PreparedStatement stm = connection.prepareStatement("Update EMPLOYEES set NAME = ? where ID = 100");    
stm.setString(1,"EMP123");
System.out.println(stm.executeUpdate()+" Rows has changed");

这应该如何保护你的代码免受sql注入攻击