SQL字符串拼接一定不可取吗？非用户输入场景下能否使用？

首先明确结论：如果attributeTable完全是代码内部硬编码、没有任何外部不可信输入参与，这种拼接方式在安全上是没问题的。

为什么安全？ #

SQL注入的核心风险是不可信输入被直接拼入SQL语句，导致攻击者可以篡改SQL逻辑。但如果表名完全由你自己的代码控制（比如调用时传的是"character_strength"这类固定字符串），不存在任何外部篡改的可能，自然不会有注入风险。

但要注意这些细节 #

• 严格锁死表名来源：必须确保attributeTable的取值只能是你硬编码的合法表名，绝对不能让用户输入、配置文件、第三方接口返回值这类外部数据进入这个参数。哪怕是后续代码改动，也不能打破这个限制——一旦不小心引入外部值，注入风险会立刻出现。
• 加个白名单校验：哪怕是内部调用，也建议提前维护一个合法表名的白名单，在函数里先校验传入的表名是否在白名单内。这样既能避免拼写错误导致的SQL语法错误，也能防止后续代码改动时误传非法表名。

优化后的代码示例 #

// 预定义所有合法的属性表
private static final Set<String> VALID_ATTRIBUTE_TABLES = Set.of(
    "character_strength", "character_mana", "character_agility"
);

public void insertAttribute(String attributeTable, int characterId) {
    // 先校验表名合法性
    if (!VALID_ATTRIBUTE_TABLES.contains(attributeTable)) {
        throw new IllegalArgumentException("非法的属性表：" + attributeTable);
    }
    String sql = "INSERT INTO " + attributeTable + " (character_id) VALUES (?)";
    // 这里用PreparedStatement执行SQL，确保characterId参数安全
    try (PreparedStatement pstmt = conn.prepareStatement(sql)) {
        pstmt.setInt(1, characterId);
        pstmt.executeUpdate();
    } catch (SQLException e) {
        // 处理异常
        e.printStackTrace();
    }
}

彻底避免拼接的替代方案 #

如果想完全规避字符串拼接的写法，也可以试试这些方式：

• 用ORM框架：比如MyBatis支持动态表名语法，或者Hibernate可以通过实体关联来批量处理；这类框架会帮你处理SQL的生成，不用手动拼接。
• 预存SQL映射：把每个表的插入语句提前写好，用一个Map来关联表名和对应的SQL，调用时直接取对应SQL执行，比如：

  private static final Map<String, String> INSERT_SQL_MAP = Map.of(
      "character_strength", "INSERT INTO character_strength (character_id) VALUES (?)",
      "character_mana", "INSERT INTO character_mana (character_id) VALUES (?)"
  );
  
  public void insertAttribute(String attributeTable, int characterId) {
      String sql = INSERT_SQL_MAP.get(attributeTable);
      if (sql == null) {
          throw new IllegalArgumentException("非法的属性表：" + attributeTable);
      }
      // 执行SQL...
  }
  

内容的提问来源于stack exchange，提问作者Balint