struts2 previene la inyección de SQL

Struts2 no involucra SQL Para evitar la inyección de SQL, solo necesita crear un objeto Statement en la capa de persistencia, llamar al método prepareStatement del objeto Connection para crear un objeto PreparedStatement y usar este objeto para enviar declaraciones SQL. El SQL enviado por este objeto está precompilado y por lo tanto evita la inyección de SQL.

Además, si utilizas Hibernate o ibatis, no tienes que preocuparte por este problema