Java中NamedParameterJdbcTemplate传CURRENT_DATE参数无效的解决咨询

你遇到的问题本质是参数绑定机制导致的：当你把CURRENT_DATE或curdate()作为字符串传入paramMap时，NamedParameterJdbcTemplate会将其当作普通的字符串字面量处理，最终执行的SQL会变成：

SELECT * FROM student where CREATE_TIME>=DATE_SUB('CURRENT_DATE',INTERVAL 24 HOUR)

MySQL会尝试把字符串'CURRENT_DATE'转换成日期，转换失败后得到无效日期，自然查不到任何结果。而传入'2020-05-30'时，这个字符串能正常被解析为日期，所以查询正常。

这里提供两种安全且实用的修改思路，你可以根据自己的业务场景选择：

思路1：区分参数类型动态生成SQL #

约定好参数规则（比如当dateStr为CURRENT_DATE或curdate()时，使用MySQL内置函数；否则使用传入的日期字符串），然后动态拼接SQL：

NamedParameterJdbcTemplate nameJdbc = new NamedParameterJdbcTemplate(jdbcTemplate);
Map<String,Object> paramMap = new HashMap<>();
String sql;

// 判断是否需要使用当前日期函数
if ("CURRENT_DATE".equalsIgnoreCase(dateStr) || "curdate()".equalsIgnoreCase(dateStr)) {
    // 直接在SQL中写入curdate()函数，无需参数绑定
    sql = "SELECT * FROM student WHERE CREATE_TIME >= DATE_SUB(CURDATE(), INTERVAL 24 HOUR)";
} else {
    // 绑定具体日期参数
    paramMap.put("dateStr", dateStr);
    sql = "SELECT * FROM student WHERE CREATE_TIME >= DATE_SUB(:dateStr, INTERVAL 24 HOUR)";
}

return nameJdbc.query(sql, paramMap, new BeanPropertyRowMapper<>(Student.class));

注意：这种方式要确保dateStr的取值是你可控的（比如仅来自内部逻辑，而非用户直接输入），避免SQL注入风险。如果是用户输入的参数，一定要先做严格校验。

思路2：用null标识当前日期（更安全） #

如果可以调整调用逻辑，约定当需要查询当前日期前24小时的数据时，传入null或空字符串，这样代码更简洁且无注入风险：

NamedParameterJdbcTemplate nameJdbc = new NamedParameterJdbcTemplate(jdbcTemplate);
Map<String,Object> paramMap = new HashMap<>();
String sql;

if (dateStr == null || dateStr.trim().isEmpty()) {
    sql = "SELECT * FROM student WHERE CREATE_TIME >= DATE_SUB(CURDATE(), INTERVAL 24 HOUR)";
} else {
    paramMap.put("dateStr", dateStr);
    sql = "SELECT * FROM student WHERE CREATE_TIME >= DATE_SUB(:dateStr, INTERVAL 24 HOUR)";
}

return nameJdbc.query(sql, paramMap, new BeanPropertyRowMapper<>(Student.class));

内容的提问来源于stack exchange，提问作者flower