请求确认JdbcTemplate.update方法的Sonar SQL注入告警是否为误报

结论：这段代码不存在SQL注入风险，Sonar的告警属于误报

核心依据： #

• 你使用的SQL语句是带占位符?的预编译写法，完全没有直接将用户输入或动态内容拼接进SQL字符串，这是防范SQL注入的标准安全实践
• 显式指定了参数类型数组Types.VARCHAR，进一步限制了参数的类型范围，避免了非法类型转换引发的风险
• 底层JdbcTemplate的update方法通过ArgTypePreparedStatementSetter处理参数，本质是依托JDBC驱动的预编译机制执行SQL，只要JDBC驱动本身无漏洞，就不存在注入可能

Sonar告警翻译： #

Sonar告警原文：This use of org/springframework/jdbc/core/JdbcTemplate.update(Ljava/lang/String;[Ljava/lang/Object;[I)I can be vulnerable to SQL injection (with Spring JDBC)
翻译后：使用org/springframework/jdbc/core/JdbcTemplate.update(Ljava/lang/String;[Ljava/lang/Object;[I)I方法可能存在SQL注入风险（Spring JDBC场景）

这种带占位符+指定参数类型的写法是DAO层的安全标准实现，可以放心在多处复用。

内容的提问来源于stack exchange，提问作者Azhagu Surya