java程序防止sql流入的方法

java程序防止sql注入的方法
List result = session.createQuery(sql)
??????????????????.setString("param", param)
???????????????????.list();