如何通过JDBC向MySQL发送动态查询（无需PreparedStatement/存储过程）

首先看你生成的SQL语句：

SELECT *
FROM PISTONS
WHERE
PISTONS.stroke = 2T;

这里直接触发语法错误的原因是字符串类型的字段值没加单引号——2T是字符串，必须写成'2T'，MySQL会把没加引号的2T识别成无效语法，这就是你看到SQLSyntaxErrorException的根源。

用Statement执行动态SQL的必做事项 #

• 字符串、日期类型的取值必须用单引号包裹；数值类型可以不用，但要保证格式合法。
• 必须处理SQL注入风险：如果输入内容包含单引号、分号这类特殊字符，直接拼接会报错甚至被注入攻击。比如输入O'Neil，拼接后会变成PISTONS.name = O'Neil，直接语法错误。解决办法是把每个单引号替换成两个单引号（'→''）。
• 如果字段名是MySQL关键字（比如order），要用反引号`包裹，比如`order` = 'xxx'。

更优方案：动态构建PreparedStatement（不用写50种组合） #

你担心的50多种组合其实可以用动态拼接的方式解决，不用手动写所有情况：

1. 先写基础SQL：SELECT * FROM PISTONS WHERE 1=1（1=1是为了方便拼接条件，避免空WHERE子句的问题）。
2. 用集合存储条件片段（比如PISTONS.stroke = ?）和对应的参数值。
3. 把条件片段用AND/OR拼接起来，加到基础SQL后面。
4. 最后循环设置PreparedStatement的参数即可。

示例代码：

String baseSql = "SELECT * FROM PISTONS WHERE 1=1";
List<String> conditionList = new ArrayList<>();
List<Object> paramList = new ArrayList<>();

// 根据业务逻辑动态加条件
if (stroke != null && !stroke.trim().isEmpty()) {
    conditionList.add("PISTONS.stroke = ?");
    paramList.add(stroke);
}
if (diameter != null) {
    conditionList.add("PISTONS.diameter = ?");
    paramList.add(diameter);
}
// 其他条件同理...

// 拼接条件到主SQL
if (!conditionList.isEmpty()) {
    baseSql += " AND " + String.join(" AND ", conditionList);
}

// 执行查询
try (PreparedStatement pstmt = conn.prepareStatement(baseSql)) {
    // 循环设置参数
    for (int i = 0; i < paramList.size(); i++) {
        pstmt.setObject(i + 1, paramList.get(i));
    }
    ResultSet rs = pstmt.executeQuery();
    // 处理结果集逻辑
} catch (SQLException e) {
    e.printStackTrace();
}

这种方式既规避了SQL注入，又不用手动维护50多种组合，开发量比直接拼SQL还小，安全性和稳定性也更高。

总结 #

1. 要是非要用Statement，先把字符串值加单引号，同时处理特殊字符转义。
2. 优先选动态构建PreparedStatement的方案，性价比更高。

内容的提问来源于stack exchange，提问作者nikas