运行时生成多参数字符串型SQL查询的最优方案及格式修复

你遇到的格式问题是因为直接调用params.getDepartmentIdList()的toString()方法，Java集合默认的toString输出会带方括号且元素无单引号，导致生成的SQL格式错误。另外，直接拼接字符串生成SQL存在严重的SQL注入风险，这是必须避免的问题，下面给出两种解决方案，优先推荐预编译语句的规范方式。

方案一：临时修复字符串拼接（不推荐生产环境使用） #

如果暂时需要保留字符串拼接逻辑，需手动处理部门ID列表：给每个元素包裹单引号，再用逗号分隔。

示例代码：

// 处理部门ID列表：每个元素加单引号，逗号分隔
String deptIds = params.getDepartmentIdList()
    .stream()
    .map(id -> "'" + id + "'")
    .collect(Collectors.joining(", "));

StringBuilder stringBuilder = new StringBuilder();
stringBuilder.append("SELECT * FROM employee ")
             .append("WHERE employeeId = 'A' and employeeName IN ('ABC', 'PQR', 'ZYZ')")
             .append(" and active = 'ACTIVE' and DEPARTMENTID in (")
             .append(deptIds)
             .append(")")
             .append(" and deactivate = false")
             .append(" and triggerId = '")
             .append(params.getTriggerId())
             .append("'");

return stringBuilder.toString();

注意：该方式仍存在SQL注入风险，若参数来自用户输入，可能被恶意利用，仅适合临时调试场景。

方案二：使用PreparedStatement（推荐，安全规范） #

预编译语句会自动处理参数格式，同时彻底避免SQL注入，是生成SQL的最优实践。

示例代码：

// 基础SQL模板，用?作为参数占位符
String sql = "SELECT * FROM employee "
           + "WHERE employeeId = ? and employeeName IN (?, ?, ?) "
           + "and active = ? and DEPARTMENTID in (%s) "
           + "and deactivate = ? and triggerId = ?";

List<String> deptIdList = params.getDepartmentIdList();
// 动态生成IN子句的占位符
String inPlaceholders = String.join(", ", Collections.nCopies(deptIdList.size(), "?"));
// 替换模板中的占位符标记
sql = String.format(sql, inPlaceholders);

PreparedStatement pstmt = connection.prepareStatement(sql);

// 按顺序设置参数
int paramIndex = 1;
pstmt.setString(paramIndex++, "A");
pstmt.setString(paramIndex++, "ABC");
pstmt.setString(paramIndex++, "PQR");
pstmt.setString(paramIndex++, "ZYZ");
pstmt.setString(paramIndex++, "ACTIVE");
// 批量设置部门ID列表参数
for (String deptId : deptIdList) {
    pstmt.setString(paramIndex++, deptId);
}
pstmt.setBoolean(paramIndex++, false);
pstmt.setString(paramIndex++, params.getTriggerId());

// 执行查询
ResultSet rs = pstmt.executeQuery();

这种方式既解决了格式问题，又从根源上杜绝了SQL注入，是生产环境的标准实现方式。

内容的提问来源于stack exchange，提问作者user641887