Java使用PreparedStatement执行LIKE查询时遇标识符无效及参数缺失问题

安全阿岳

2026-5-6

关于Java PreparedStatement执行LIKE查询的错误分析与解决建议

先帮你拆解两个错误的根源，再给出针对性的解决步骤：

一、ORA-00904: "%12P1A%": invalid identifier 错误原因

这个错误本质是Oracle把%12P1A%当成了无效的数据库对象标识符（比如列名、表名），而非字符串字面量。结合你的描述，大概率是你最初的代码没有正确使用占位符?，而是直接把参数写在了SQL语句里且未加单引号——比如写成了：

// 错误写法：没有用占位符，也没给%12P1A%加单引号
statement = connection.prepareStatement("select * from users where userID like %12P1A%");

这种情况下Oracle会将%12P1A%解析为列名，自然会抛出无效标识符的错误。你贴出的占位符写法是正确的，可能实际运行的是另一段未规范使用占位符的代码。

这个错误说明JDBC驱动检测到SQL语句中定义的占位符数量，和你实际设置的参数数量不匹配。结合你的场景，可能的诱因有这些：

SQL语句中的占位符?格式异常：比如因字符串拼接、转义等操作，导致?被修改、丢失或数量变多（比如不小心写成了??）。
getValue()函数的逻辑干扰：虽然概率低，但如果这个函数意外修改了SQL语句（比如替换了占位符），或者返回的字符串包含特殊字符导致驱动误判占位符数量。
JDBC驱动版本问题：某些旧版本的Oracle JDBC驱动对PreparedStatement的参数处理存在bug，容易出现参数匹配异常。
参数设置顺序错误：比如你误将参数设置为setString(2, ...)，但SQL里只有1个占位符。

校验SQL语句的正确性
在调用prepareStatement前打印SQL，确保占位符?数量正确、格式正常：

String sql = "select * from users where userID like ?";
System.out.println("待执行SQL：" + sql); // 确认只有1个?
statement = connection.prepareStatement(sql);

确认参数设置的准确性
打印getValue()的返回值，确保参数内容正确，且参数设置的索引和占位符位置匹配：
```
String param = getValue();
System.out.println("参数值：" + param); // 确认是%12P1A%，不带多余单引号
statement.setString(1, param); // 索引必须对应SQL中第1个?
```
注意：参数值只需要带%，不需要加单引号——PreparedStatement会自动处理字符串的引号包裹和转义，这也是它防止SQL注入的核心。
检查getValue()函数逻辑
确认该函数仅返回参数值，不会修改SQL语句，也不会返回带单引号的字符串（比如'%12P1A%'会导致最终SQL变成like ''%12P1A%''，语法错误）。

升级JDBC驱动
若以上都没问题，尝试升级Oracle JDBC驱动到最新稳定版本，比如使用Maven引入ojdbc8（适配Java 8+）：

<dependency>
    <groupId>com.oracle.database.jdbc</groupId>
    <artifactId>ojdbc8</artifactId>
    <version>21.13.0.0</version>
</dependency>

开启JDBC日志调试
通过JVM参数开启Oracle JDBC的日志追踪，查看驱动实际发送给数据库的SQL和参数：
```
-Doracle.jdbc.Trace=true
```
或者通过SLF4J等日志框架配置驱动的日志级别，直观排查参数是否被正确传递。

内容的提问来源于stack exchange，提问作者Iris_geek