JdbcTemplate在复合SQL语句中吞掉权限错误问题求助

核心原因 #

当执行包含多条语句的复合SQL时，若第一条语句（如select 1）执行成功，后续无权限的DDL操作（如drop table）可能被JDBC驱动以警告而非严重SQLException的形式返回；而Spring JdbcTemplate 5.3.1版本的默认逻辑中，即使设置ignoreWarnings=false，也不会主动将这类警告转为异常抛出，仅在DEBUG日志中记录。只有当复合语句存在语法错误时，驱动才会直接抛出异常。

可行解决方案 #

1. 自定义JdbcTemplate，主动检查执行警告 #

重写JdbcTemplate的执行逻辑，在语句执行完成后主动获取并处理Statement的警告链，将警告转为SQLException抛出：

public class StrictErrorCheckingJdbcTemplate extends JdbcTemplate {

    @Override
    public <T> T execute(StatementCallback<T> action) throws DataAccessException {
        return execute((ConnectionCallback<T>) connection -> {
            try (Statement stmt = connection.createStatement()) {
                T result = action.doInStatement(stmt);
                // 遍历警告链，抛出第一个非空警告
                SQLWarning warning = stmt.getWarnings();
                while (warning != null) {
                    // 将SQLWarning包装为SQLException抛出
                    throw new SQLException("Statement execution encountered warnings", warning);
                }
                return result;
            } catch (SQLException ex) {
                throw translateException("StatementCallback", getSql(action), ex);
            }
        });
    }

    // 辅助方法：从StatementCallback中提取SQL（可选，用于错误日志）
    private String getSql(StatementCallback<?> action) {
        if (action instanceof AbstractStatementCallback) {
            return ((AbstractStatementCallback<?>) action).getSql();
        }
        return "unknown SQL";
    }
}

使用这个自定义模板执行复合语句时，只要存在警告（包括权限错误）就会抛出异常，你可以在捕获时处理这类情况。

2. 从根源禁用复合语句执行 #

既然你的场景是验证用户提供的WHERE片段，应该避免执行复合语句：

• 过滤非法字符：提前检查用户输入的WHERE片段，若包含分号、DDL关键字（如DROP、ALTER、TRUNCATE）等，直接拦截并返回错误。
• 使用预编译语句：将用户的WHERE片段作为动态条件嵌入预编译的SQL框架中，而非直接拼接成完整SQL。例如：

  String userWhere = "id = ? AND status = 'ACTIVE'"; // 用户提供的片段
  String fullSql = "SELECT 1 FROM dummy_table WHERE " + userWhere;
  jdbcTemplate.query(fullSql, params); // 使用参数化避免注入，同时限制为单SELECT语句
  

• 禁用驱动多语句支持：如果使用MySQL，设置连接参数allowMultiQueries=false（默认值），这样复合语句会直接触发语法异常；其他数据库如Oracle默认不支持多语句执行，无需额外配置。

3. 确认连接只读模式的有效性 #

确保数据库连接确实处于只读状态：

• 检查JdbcTemplate是否正确设置了setReadOnly(true)，或数据源配置中开启了只读模式。
• 部分数据库的只读模式会阻止所有DDL/DML操作，即使是复合语句中的后续操作，若连接只读生效，驱动可能会抛出更明确的权限异常。

内容的提问来源于stack exchange，提问作者DavesPlanet