Správné řešení SQL Injection

String query = "select * from tabulka where field = :p_field";
Query q = session.createQuery(query);
q.setString("p_field", param);