Ложные жалобы на SQL-инъекцию

Question

Я использую код Java. Я использую подготовленное заявление без объединения. Но все же я получаю жалобу на инъекцию SQL от SonarQube. Кто-нибудь может объяснить, почему я получаю эту ошибку?

Код:

HashMap<String, String> query = [some source for hashmap];
String sql = (String) query.get(key);
stmt = conn.preparedstatement(sql);
stmt.setString(1, param1);