如何用Java JDBC安全创建MySQL数据库，规避SQL注入与SpotBugs报错

一、无SQL注入风险的实现方式 #

由于JDBC的PreparedStatement参数占位符（?）仅支持SQL值类型，无法用于数据库名这类标识符，所以必须通过安全校验+标识符转义的方式避免注入：

1. 严格校验数据库名格式 #

MySQL合法数据库名仅允许包含字母、数字、下划线、$，长度限制1-64字符。通过正则校验拦截非法输入，从源头阻断注入风险：

private boolean isValidDatabaseName(String database) {
    return database != null && database.matches("^[a-zA-Z0-9_$]{1,64}$");
}

public void createDatabase(Connection connection, String database) throws SQLException {
    if (!isValidDatabaseName(database)) {
        throw new IllegalArgumentException("数据库名仅允许包含字母、数字、下划线、$，长度1-64字符");
    }
    try (Statement statement = connection.createStatement()) {
        String query = String.format("CREATE DATABASE %s", database);
        statement.executeUpdate(query);
    }
}

2. 转义特殊标识符（支持含特殊字符的库名） #

如果需要支持带连字符等特殊字符的数据库名，需用MySQL的反引号（）包裹库名，并转义库名中的反引号（将单个替换为``）：

private String escapeDatabaseName(String database) {
    if (database == null || database.isEmpty()) {
        throw new IllegalArgumentException("数据库名不能为空");
    }
    return "`" + database.replace("`", "``") + "`";
}

public void createDatabase(Connection connection, String database) throws SQLException {
    String escapedName = escapeDatabaseName(database);
    try (Statement statement = connection.createStatement()) {
        String query = String.format("CREATE DATABASE %s", escapedName);
        statement.executeUpdate(query);
    }
}

二、解决SpotBugs报错的方法 #

SpotBugs的SqlNonConstantString警告是因为它检测到你使用非常量字符串执行SQL，默认认为存在注入风险。解决方式如下：

1. 添加抑制注解（推荐） #

在已完成安全校验的方法上添加@SuppressWarnings("SqlNonConstantString")注解，明确告知SpotBugs该SQL已做安全处理：

import edu.umd.cs.findbugs.annotations.SuppressWarnings;

@SuppressWarnings("SqlNonConstantString")
public void createDatabase(Connection connection, String database) throws SQLException {
    if (!isValidDatabaseName(database)) {
        throw new IllegalArgumentException("非法的数据库名格式");
    }
    try (Statement statement = connection.createStatement()) {
        String query = String.format("CREATE DATABASE %s", database);
        statement.executeUpdate(query);
    }
}

注意：必须先完成前面的安全校验，再添加注解，不能直接忽略警告。

2. 配置SpotBugs排除规则 #

如果不想在代码中加注解，可以在SpotBugs的配置文件（如findbugs-exclude.xml）中添加规则，针对特定方法或类禁用该检查：

<FindBugsFilter>
    <Match>
        <Class name="com.yourpackage.YourDatabaseClass"/>
        <Method name="createDatabase"/>
        <Bug pattern="SqlNonConstantString"/>
    </Match>
</FindBugsFilter>

关键说明 #

为什么用PreparedStatement依然报错？因为JDBC的PreparedStatement无法将占位符替换为数据库名这类标识符，你拼接字符串创建PreparedStatement的方式本质和直接用Statement一样，依然会被SpotBugs识别为非常量SQL，所以这种方式不可行。

内容的提问来源于stack exchange，提问作者sahanhe