Java应用如何限制用户仅执行SELECT查询，避免数据修改操作

以下是几个无需独立连接池或只读用户的可行方案：

1. SQL语句前置校验 #

在用户提交查询后、执行SQL之前，对语句做语法层面的校验：

• 简单规则校验：检查SQL语句的起始关键字是否为SELECT，注意处理大小写、注释干扰（比如/* 注释 */ SELECT ...这类场景）。可以用正则做初步过滤，示例代码如下：

  // 适配注释、大小写的正则，需根据实际场景调整
  Pattern selectPattern = Pattern.compile("^\\s*(?:/\\*.*?\\*/\\s*)*SELECT", Pattern.CASE_INSENSITIVE | Pattern.DOTALL);
  boolean isSelectQuery = selectPattern.matcher(userInputSql).find();
  

• 语法解析校验：使用JSqlParser这类Java SQL解析库对语句做完整解析，直接判断语句类型是否为查询语句。这种方式能处理正则无法覆盖的复杂场景，比如带WITH子句、嵌套查询的SELECT语句，避免误判。

2. 连接级别临时设置只读 #

从连接池获取连接后，针对用户查询请求临时将连接设为只读模式，执行完查询后恢复原有状态：

Connection conn = connectionPool.getConnection();
try {
    // 开启连接只读模式
    conn.setReadOnly(true);
    // 执行用户的SELECT查询逻辑
    // ...
} finally {
    // 归还连接前恢复原有状态，避免影响其他请求
    conn.setReadOnly(false);
    conn.close();
}

注意：不同数据库对setReadOnly()的实现有差异，部分数据库会强制只读连接无法执行写操作，需要提前测试验证效果。

3. 会话级临时权限限制（数据库支持场景） #

部分数据库支持在会话级别临时切换只读状态，比如PostgreSQL的SET SESSION TRANSACTION READ ONLY、MySQL的SET SESSION sql_mode = 'READ_ONLY'。执行用户查询前先设置会话只读，完成后恢复：

Connection conn = connectionPool.getConnection();
try {
    // 会话级设置只读（以PostgreSQL为例）
    Statement stmt = conn.createStatement();
    stmt.execute("SET SESSION TRANSACTION READ ONLY");
    // 执行用户查询
    // ...
} finally {
    // 恢复会话权限
    Statement stmt = conn.createStatement();
    stmt.execute("SET SESSION TRANSACTION READ WRITE");
    conn.close();
}

这种方式依赖数据库特性，必须确保在归还连接前恢复原有会话设置，避免影响连接池的复用连接。

额外注意 #

• 建议组合多种方案，比如先做SQL语法校验，再设置连接只读，双重降低风险。
• 即使限制了SELECT，也要防范恶意查询的性能风险（比如全表扫描拖慢数据库），可以搭配查询超时、资源配额限制等措施。
• 若用户查询包含存储过程、自定义函数，需额外校验这些对象内部是否存在写操作。

内容的提问来源于stack exchange，提问作者AnR