Как да се предпазим от SQL инжектиране, когато клаузата WHERE се изгражда динамично от формуляра за търсене?

Виждали ли сте JDBC NamedParameterJDBCTemplate ?

Можете да правите неща като:

String sql = "select count(0) from T_ACTOR where first_name = :first_name";
SqlParameterSource namedParameters = new MapSqlParameterSource("first_name", firstName);
return namedParameterJdbcTemplate.queryForInt(sql, namedParameters);

и изградете динамично своя низ на заявка, след което изградете своя SqlParameterSource по подобен начин.