Java操作Oracle数据库：如何用参数化预编译语句安全执行TRUNCATE TABLE？

首先明确：无法通过PreparedStatement的参数占位符来替代TRUNCATE TABLE语句中的表名。预编译语句的?占位符仅支持替换SQL中的数据值（比如INSERT/UPDATE中的字段值），不能用来替换表名、列名这类SQL语法标识符——数据库会把占位符替换后的内容当成字符串字面量处理，而非合法表名，这就是你收到"invalid table name"错误的原因。

要安全执行TRUNCATE TABLE且避免SQL注入，推荐以下几种方案：

1. 白名单验证（最安全） #

维护一个允许操作的表名单列表，只有当传入的表名在列表内时，才允许执行语句：

import java.util.Arrays;
import java.util.HashSet;
import java.util.Set;
import java.sql.Connection;
import java.sql.PreparedStatement;

// 允许操作的表名白名单
Set<String> allowedTables = new HashSet<>(Arrays.asList("employee", "department", "salary"));
String tableName = "employee";

// 校验表名合法性
if (!allowedTables.contains(tableName)) {
    throw new IllegalArgumentException("不允许操作该表");
}

// 拼接语句并执行
String truncateQuery = "TRUNCATE TABLE " + tableName;
try (PreparedStatement statement = connection.prepareStatement(truncateQuery)) {
    statement.executeUpdate();
}

这种方式从根源上杜绝了SQL注入风险，只有预先授权的表才能被操作。

2. 数据库元数据验证 #

如果表名需要动态扩展，白名单不好维护，可以通过数据库元数据校验表名是否真实存在：

import java.sql.Connection;
import java.sql.DatabaseMetaData;
import java.sql.PreparedStatement;
import java.sql.ResultSet;

String tableName = "employee";
boolean tableExists = false;

// 获取数据库元数据，校验表是否存在
DatabaseMetaData metaData = connection.getMetaData();
// Oracle默认表名为大写，需注意大小写匹配；若创建表时用双引号指定小写，需调整匹配逻辑
ResultSet tables = metaData.getTables(null, null, tableName.toUpperCase(), new String[]{"TABLE"});
if (tables.next()) {
    tableExists = true;
}
tables.close();

if (!tableExists) {
    throw new IllegalArgumentException("指定表不存在");
}

// 执行截断
String truncateQuery = "TRUNCATE TABLE " + tableName;
try (PreparedStatement statement = connection.prepareStatement(truncateQuery)) {
    statement.executeUpdate();
}

通过数据库自身的元数据确认表的合法性，避免恶意表名注入。

3. 标识符转义（不推荐，仅作补充） #

Oracle支持用双引号包裹表名进行转义，可对表名中的特殊字符做转义处理，但这种方式风险高于前两种，仅适用于信任场景：

// 转义表名中的双引号，避免语法错误
String safeTableName = "\"" + tableName.replace("\"", "\"\"") + "\"";
String truncateQuery = "TRUNCATE TABLE " + safeTableName;

try (PreparedStatement statement = connection.prepareStatement(truncateQuery)) {
    statement.executeUpdate();
}

注意：若表名包含恶意构造的内容，仍存在绕过可能，因此优先选择白名单或元数据验证方案。

内容的提问来源于stack exchange，提问作者Ajit