String sql=“select*from item order by”+colname 此类SQL查询语句使用PrepardeStatement参数化查询方式有效的防止SQL注入。