如何在SQL语句中使用变量？JDBC插入代码报错求助

错误原因 #

你拼接的SQL语句缺少必要的语法结构，最终生成的SQL会是类似INSERT INTO bestenliste (SpielerName)张三这种格式，完全不符合MySQL的INSERT语法规范，因此触发语法错误。

正确解决方案（推荐使用PreparedStatement，避免SQL注入） #

使用PreparedStatement是JDBC中插入变量的标准安全做法，能同时避免语法错误和SQL注入风险：

import java.sql.*;

public class Insert {
    
    public static void main(String[] args) throws SQLException {
        
        String url = "jdbc:mysql://127.0.0.1:3306/datenbank";
        String user = "root";
        String password = "123456";
        
        Connection conn = null;
        PreparedStatement pstmt = null;
        
        try {
            conn = DriverManager.getConnection(url, user, password);
            
            // 用占位符?代替变量位置
            String sql = "INSERT INTO bestenliste (SpielerName) VALUES (?)";
            pstmt = conn.prepareStatement(sql);
            
            // 给第一个占位符设置变量值
            pstmt.setString(1, Login.nameWeiss);
            
            pstmt.executeUpdate();
            
            System.out.println("Insert Complete");
            
        } catch (Exception e) {
            e.printStackTrace();
        } finally {
            if (pstmt != null) {
                pstmt.close();
            }
            if (conn != null) {
                conn.close();
            }
        }
    }
}

为什么优先用PreparedStatement？ #

• 自动处理字符串的引号、转义问题，彻底避免语法错误
• 从根源防止SQL注入攻击，这是直接拼接字符串的核心安全隐患

不推荐的方案：直接拼接SQL字符串（仅作了解，风险极高） #

如果一定要用Statement，需要补全INSERT语法的VALUES结构，并且给字符串变量加上单引号：

// 注意：此方式存在SQL注入风险，生产环境绝对禁止使用
String sql = "INSERT INTO bestenliste (SpielerName) VALUES ('" + Login.nameWeiss + "')";
stmt.execute(sql);

警告：如果Login.nameWeiss包含单引号（比如O'Neil），这种拼接会再次触发语法错误；恶意用户还能通过构造特殊值执行任意SQL，完全不安全。

内容的提问来源于stack exchange，提问作者alex