Java银行账户应用向MySQL插入数据时SQL语法错误排查

问题根源 #

你遇到的SQLSyntaxErrorException是因为字符串类型的字段值在SQL语句中没有用单引号包裹。当你直接拼接customerID和customerName到INSERT语句时，MySQL会把这些字符串识别为列名而非字段值。比如当用户名为Koko时，生成的SQL语句是：

insert into users(id, name, balance, transactions) values (123, Koko, 100.0, 50.0)

MySQL会尝试查找名为Koko的列，自然找不到，所以抛出"Unknown column 'Koko' in 'field list'"错误。

另外，直接拼接字符串还会带来SQL注入风险，这是严重的安全问题，必须避免。

正确解决方案：使用PreparedStatement #

改用PreparedStatement预编译SQL语句，通过占位符设置参数，既解决语法错误，又杜绝SQL注入风险。修改后的insert()方法代码如下：

public void insert() {
    String myUrl = "jdbc:mysql://localhost:3306/bankacc";
    String db_id = "root";
    String db_pass = "Ik32e23k";

    Connection conn = null;
    PreparedStatement pstmt = null;

    try {    
        conn = DriverManager.getConnection(myUrl, db_id, db_pass);
        // 使用?作为参数占位符
        String sql = "insert into users(id, name, balance, transactions) values (?, ?, ?, ?)";
        pstmt = conn.prepareStatement(sql);
        // 按顺序设置参数：索引从1开始
        pstmt.setString(1, customerID);
        pstmt.setString(2, customerName);
        pstmt.setFloat(3, balance);
        pstmt.setFloat(4, prevTransaction);
        
        pstmt.executeUpdate();    
    } catch (SQLException e) {
        e.printStackTrace();
    } catch (Exception e) {
        e.printStackTrace();
    } finally {
        // 资源关闭顺序：先关闭PreparedStatement，再关闭Connection
        try {
            if (pstmt != null)
                pstmt.close();
        } catch (SQLException e) {
            e.printStackTrace();
        }
        try {
            if (conn != null)
                conn.close();
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}

额外注意点 #

1. 资源关闭顺序：原代码中finally块先关闭Connection再处理Statement，这是错误的。必须先关闭Statement/PreparedStatement，再关闭Connection，否则无法正确释放底层资源。
2. 字段类型匹配：确保users表的字段类型与Java代码中的类型对应（比如balance和transactions需为FLOAT或兼容类型）。

内容的提问来源于stack exchange，提问作者Kostadin Samardjiev