使用PreparedStatement时SpotBugs的SQL注入警告是否为误报？

你的Java代码： #

PreparedStatement ps; 
// ...
public static final String sqlQuery = "select * from users where user_id = ?";
public ResultSet getResultData(int id) {
  ps = conn.prepareStatement(sqlQuery);    // SpotBugs在此处发出警告
  ps.setInteger(1, id);
  return ps.executeQuery();
}

SpotBugs警告内容： #

This use of java/sql/Connection.prepareStatement(Ljava/lang/String;)Ljava/sql/PreparedStatement; can be vulnerable to SQL injection (with JDBC)

这个警告属于误报，你的代码写法完全符合JDBC防SQL注入的最佳实践，没有任何安全问题：

• 你使用了预编译语句PreparedStatement，并通过setInteger方法绑定参数，这种方式会由JDBC驱动自动处理参数的转义和校验，彻底杜绝SQL注入风险。
• 你的SQL语句是静态常量字符串，没有拼接任何用户输入或动态生成的内容，不存在注入的入口。

SpotBugs的这个警告大概率是规则误触发——它可能没有识别到后续的参数绑定操作，或者对静态常量SQL的判断逻辑存在偏差。

处理建议： #

• 直接抑制该警告即可，比如给方法添加SpotBugs的抑制注解：@SuppressFBWarnings("SQL_INJECTION_JDBC")（需要确保项目中引入了SpotBugs的注解依赖）。
• 不需要修改现有代码，你的实现已经是安全的。

内容的提问来源于stack exchange，提问作者Sergey Ivaniukovich