Java、SpringBoot中如何将字符串变量传入SQL查询

你遇到的问题本质是JDBC预编译参数的使用场景限制：JDBC的?占位符只能用来替换SQL中的值类型参数（比如WHERE USERID = ?里的用户ID），不能用来替换数据库名、表名、列名这类SQL标识符。当你把?放在双引号里时，数据库会直接把"?".当成数据库名称，自然会提示该数据库不存在。

正确的实现方式 #

因为要动态替换数据库名这种标识符，我们需要用字符串拼接的方式，但必须注意安全风险（防止SQL注入），步骤如下：

1. 校验数据库名的合法性：确保传入的dbName是可信的（比如在预先定义的允许列表中），避免恶意注入。
2. 转义标识符中的特殊字符：如果dbName包含双引号（标识符允许的特殊字符），需要转义成两个双引号，避免SQL语法错误。
3. 拼接生成合法的SQL语句：将校验并转义后的dbName拼接到SQL中。

修改后的代码示例：

import java.util.Arrays;
import java.util.List;

public void getUser(String userId, String dbName) { 
    // 1. 校验dbName是否在允许的列表中（根据你的业务场景调整）
    List<String> allowedDatabases = Arrays.asList("TEST_DATABASE", "PROD_DATABASE", "DEV_DATABASE");
    if (!allowedDatabases.contains(dbName)) {
        throw new IllegalArgumentException("Invalid or unauthorized database name: " + dbName);
    }

    // 2. 转义dbName中的双引号（如果存在）
    String escapedDbName = dbName.replace("\"", "\"\"");

    // 3. 拼接SQL语句
    String q = String.format(
        "CREATE TEMPORARY TABLE \"%s\".\"PUBLIC\".\"USER_TABLE_TEMP\" AS SELECT \"USERID\", \"FIRSTNAME\", \"LASTNAME\" from \"%s\".\"PUBLIC\".\"USER\"",
        escapedDbName,
        escapedDbName
    ); 

    jdbcTemplatePerBrand.values().forEach(tab -> tab.query(q, s -> {})); 
}

关键注意事项 #

• 禁止直接拼接未校验的输入：如果跳过合法性校验，直接拼接用户传入的dbName，会存在严重的SQL注入风险，比如攻击者传入TEST_DATABASE"; DROP TABLE USER; --这类恶意值，会导致数据丢失。
• 适配数据库语法：不同数据库的标识符转义规则可能不同（比如MySQL用反引号，PostgreSQL用双引号），你的代码看起来是Snowflake的语法，所以用双引号转义是正确的。

内容的提问来源于stack exchange，提问作者user9347049