如何将SQL查询中的问号替换为对应绑定参数？

1. 手动替换（适用于简单调试场景） #

直接按SQL中问号的顺序，依次替换为对应参数：

• 数字类型参数直接填入（比如10）
• 字符串类型参数需要包裹单引号，且如果参数本身包含单引号，要转义为两个单引号（比如参数O'Neil要写成'O''Neil'）

拿你的例子来说，把第一个?替换为10，第二个?替换为'Active'，就能得到目标SQL：

select this_.id, this_.name from table this_ where this_.depId = 10 and this_.perStatus = 'Active'

2. 编程语言自动替换（推荐，避免手动失误） #

如果需要批量或动态处理，用代码实现更高效，以下是两种常用语言的示例：

Python 实现

sql_template = "select this_.id, this_.name from table this_ where this_.depId = ? and this_.perStatus = ?"
params = [10, 'Active']

# 统一处理参数格式：字符串加单引号并转义内部单引号，数字直接转字符串
def format_param(param):
    if isinstance(param, str):
        return f"'{param.replace(''', '''')}'"
    return str(param)

# 替换占位符并生成最终SQL
formatted_params = [format_param(p) for p in params]
final_sql = sql_template.replace('?', '{}').format(*formatted_params)
print(final_sql)

Java 实现

String sqlTemplate = "select this_.id, this_.name from table this_ where this_.depId = ? and this_.perStatus = ?";
Object[] params = {10, "Active"};

StringBuilder finalSql = new StringBuilder(sqlTemplate);
for (Object param : params) {
    int placeholderIndex = finalSql.indexOf("?");
    if (placeholderIndex == -1) break;
    
    String paramStr;
    if (param instanceof String) {
        // 转义字符串中的单引号
        paramStr = "'" + ((String) param).replace("'", "''") + "'";
    } else {
        paramStr = param.toString();
    }
    
    finalSql.replace(placeholderIndex, placeholderIndex + 1, paramStr);
}

System.out.println(finalSql.toString());

3. 关键注意事项 #

• 禁止直接拼接外部输入参数：如果参数来自用户输入或外部接口，手动拼接SQL会引发SQL注入风险。生产环境优先使用预编译语句（如JDBC的PreparedStatement、Python的psycopg2预编译），仅在调试、日志输出场景生成带参数的SQL字符串。
• 参数顺序必须严格对应：确保参数列表的顺序和SQL中问号的顺序完全一致，否则会导致逻辑错误。
• 字符串参数必须转义：未转义的单引号会导致SQL语法错误，甚至被利用注入攻击。

内容的提问来源于stack exchange，提问作者Usha