如何解决PreparedStatement执行SQL时自动添加单引号引发的数据库修改错误

这个问题的核心是你用错了PreparedStatement的参数绑定功能——它是用来传递数据值的，而不是用来替换表名、列名这类SQL标识符的。当你用setString()绑定表名、列名时，PreparedStatement会把它们当作字符串值处理，自动加上单引号，这就导致了ALTER TABLE 'xxx'这种不符合SQL语法的语句（表名、列名不需要单引号包裹，甚至有些数据库会把带单引号的标识符当成字符串，从而报错）。

正确的解决思路 #

你需要把表名、列名、数据类型这些SQL结构部分直接拼到SQL语句里，只对真正的数据值（比如默认值）使用参数绑定。当然，直接拼接字符串要注意SQL注入风险，不过你已经通过DatabaseMetaData.getTables()获取了合法存在的表名，这已经在很大程度上避免了注入问题。

结合你的代码修改示例 #

原来的代码把所有部分都用?占位，这是错误的。我们可以动态构建SQL语句，只对默认值使用参数绑定：

JdbcConnection connection = (JdbcConnection) database.getConnection();
DatabaseMetaData metadata = connection.getMetaData();
String[] types = {"TABLE"};
ResultSet rs = metadata.getTables(connection.getCatalog(), null, "%", types);

//if the user chose to use a suffix
if (this.getSuffix() != null) {
    while (rs.next()) {
        String tableName = rs.getString(3);
        if (tableName.endsWith(this.getSuffix())) {
            tablesFound = true;
            if (!checkColumnsExists(connection, tableName)) {
                // 动态构建SQL语句
                StringBuilder sqlBuilder = new StringBuilder("ALTER TABLE ");
                sqlBuilder.append(tableName); // 表名直接拼接（已通过元数据验证，安全）
                sqlBuilder.append(" ADD COLUMN ").append(this.getColumnName())
                          .append(" ").append(this.getColumnType());

                // 处理AFTER子句
                if (this.after != null) {
                    sqlBuilder.append(" AFTER ").append(this.after);
                }

                // 处理DEFAULT子句，这里用参数绑定
                int paramIndex = 1;
                if (this.defaultValue != null) {
                    sqlBuilder.append(" DEFAULT ?");
                }

                // 创建PreparedStatement
                PreparedStatement s = connection.prepareStatement(sqlBuilder.toString());

                // 绑定默认值参数（如果有）
                if (this.defaultValue != null) {
                    s.setString(paramIndex, this.defaultValue);
                }

                s.executeUpdate();
                columnsAdded = true;
                s.close(); // 记得关闭Statement
            }
        }
    }
}

额外的安全与语法提示 #

• 对于列名和数据类型，最好也做一下合法性校验：比如列名只能包含字母、数字、下划线，数据类型是数据库支持的合法类型（比如varchar(250)是合法的，避免用户输入varchar(250); DROP TABLE...这类恶意内容）。
• 如果需要处理带特殊字符的表名/列名，可以用数据库特定的转义方式：比如MySQL用反引号`，SQL Server用方括号[]，Oracle用双引号""，把标识符包裹起来，避免语法错误。

内容的提问来源于stack exchange，提问作者Fabio