要避免SQL注入攻击，可以使用Hibernate的参数化查询来替代直接拼接SQL语句。参数化查询通过给占位符绑定参数值来动态生成SQL语句，从而避免了直接拼接用户输入的数据到SQL语句中。
例如，可以使用如下的方式创建一个参数化查询：
String hql = "SELECT * FROM User WHERE username = :username";
Query query = session.createQuery(hql);
query.setParameter("username", inputUsername);
List<User> users = query.list();
在上面的例子中，“:username” 是一个占位符，可以通过调用 query.setParameter("username", inputUsername) 方法来将用户输入的数据绑定到该占位符，从而避免了直接拼接用户输入到SQL语句中。
通过使用参数化查询，可以有效地防止SQL注入攻击，并保护数据库的安全性。同时，Hibernate还提供了其他一些安全措施，如限制数据库用户的权限、使用安全的连接方式等，可以进一步加强数据库的安全性。
