因JDBC参数限制故意拼接SQL字符串，此类操作是否有专属名称？

在部分数据库语法场景中，无法通过JDBC参数绑定生成合法SQL，比如DB2的FETCH NEXT <n> ROWS ONLY子句不支持参数占位符，只能通过字符串拼接生成最终查询语句。这种操作从技术形式上类似SQL注入，但属于安全可控的故意操作，可以用以下术语向安全人员解释，避免误解：

推荐使用的术语 #

• 静态参数构造：强调拼接的变量是内部可控的静态值（如配置的分页大小、固定批量数），并非来自不可信用户输入，拼接后SQL结构固定，无注入风险。
• 安全SQL拼接：直接明确这种拼接经过前置校验（比如类型校验、范围校验），不存在恶意注入的可能。
• 语法限制型SQL构造：突出操作的核心原因是数据库语法不支持参数绑定，而非为了动态处理用户输入。

向安全人员解释的关键要点 #

• 拼接的变量完全来自内部可信来源，无用户可控输入参与。
• 变量拼接前已做严格校验（如确保是正整数，且数值在业务允许范围内）。
• 仅在数据库语法不支持参数绑定的特定场景使用，并非普遍的SQL编写方式。

示例代码 #

无法使用参数绑定的错误写法 #

int limit = 100;
PreparedStatement ps = conn.prepareStatement(
  "SELECT * FROM EMPLOYEE ORDER BY SALARY FETCH NEXT ? ROWS ONLY"); // 执行报错
ps.setInt(1, limit);

安全可控的字符串拼接写法 #

int limit = 100;
// 前置校验：确保limit为合法正整数，避免非法值
if (limit <= 0 || limit > 1000) {
    throw new IllegalArgumentException("分页条数超出合法范围");
}
PreparedStatement ps = conn.prepareStatement(
  "SELECT * FROM EMPLOYEE ORDER BY SALARY FETCH NEXT " + limit
  + " ROWS ONLY"); // 可正常执行

内容的提问来源于stack exchange，提问作者Joe DiNottra