1.非嵌入式产品的web应用，应使用预编译语句PreparedStatement代替直接的语句执行statement，以防SQL注入。

2.Web 服务器应当置于 DMZ区：
防火墙系统里面的一个概念，DMZ的安全性介于外部网络和内部网络之间，用来部署对外提供服务的主机，如网站服务器，邮件服务器等。