Java动态构建字符串查询时的日期参数传递问题

直接用replace()拼接SQL参数不仅容易踩日期格式的坑，还存在严重的SQL注入风险，绝对不推荐。正确的做法是用预编译语句（PreparedStatement），它能自动处理日期类型与数据库的适配，还能避免注入问题。

具体实现步骤 #

1. 编写带占位符的SQL模板，用?代替动态参数
2. 通过Connection创建PreparedStatement对象
3. 使用专门的日期设置方法（setDate/setTimestamp/setObject）绑定参数
4. 执行查询

代码示例 #

假设你的数据库字段validityDate和creationDate是DATE类型，eventDate是Java的LocalDate（如果是Date类也适用类似逻辑）：

// 1. 定义带占位符的SQL模板
String sql = "SELECT * FROM your_table WHERE formId = ? AND rate = ? AND validityDate <= ? AND creationDate >= ?";

// 2. 创建PreparedStatement（假设已获取数据库连接conn）
try (PreparedStatement pstmt = conn.prepareStatement(sql)) {
    // 3. 按占位符顺序绑定参数，日期类型用setDate处理
    pstmt.setInt(1, input.getFormId()); // 假设formId是整数类型
    pstmt.setInt(2, input.getRateId()); // rateId同理
    // 将LocalDate转为java.sql.Date适配数据库
    pstmt.setDate(3, java.sql.Date.valueOf(input.getEventDate()));
    pstmt.setDate(4, java.sql.Date.valueOf(input.getEventDate()));

    // 4. 执行查询并处理结果
    try (ResultSet rs = pstmt.executeQuery()) {
        while (rs.next()) {
            // 读取并处理结果数据
        }
    }
} catch (SQLException e) {
    e.printStackTrace();
}

为什么这比replace更靠谱？ #

• 日期类型自动适配数据库格式，不用手动拼接字符串，彻底避免格式不兼容问题
• 预编译机制从根源防止SQL注入，恶意参数不会被解析为SQL语句的一部分
• 代码逻辑更清晰，参数绑定一目了然，后期维护成本更低

如果用JPA/Hibernate这类ORM框架，也可以用参数绑定写法，本质还是依赖预编译处理：

@Query("SELECT t FROM YourEntity t WHERE t.formId = :formId AND t.validityDate <= :eventDate")
List<YourEntity> findByParams(@Param("formId") Integer formId, @Param("eventDate") LocalDate eventDate);

内容的提问来源于stack exchange，提问作者Daniel