Java操作MySQL为用户授予数据库全权限时出现语法错误

你遇到的问题根源在于PreparedStatement的占位符?不能用来替换数据库名、用户名这类SQL对象标识符，它仅支持替换SQL语句中的值类型参数（比如WHERE子句里的条件值）。当你调用setString传入参数时，JDBC会自动给参数加上单引号，最终执行的SQL变成了：

GRANT ALL PRIVILEGES ON 'dbTest'.* TO 'John' @'localhost'

这种带单引号的对象标识符写法不符合MySQL语法规则，因此触发了SQLSyntaxErrorException。

解决方法 #

方案1：直接拼接SQL字符串（仅适用于参数可信的场景）

如果数据库名、用户名是固定值或来自可信内部来源（无SQL注入风险），可以直接拼接生成合法的SQL语句：

String dbName = "dbTest";
String userName = "John";
String setPrivileges = String.format("GRANT ALL PRIVILEGES ON %s.* TO '%s'@'localhost'", dbName, userName);

this.ps = this.connection.prepareStatement(setPrivileges);
this.ps.execute();

方案2：安全处理动态参数（针对不可信来源场景）

如果参数来自外部输入，为避免SQL注入，建议：

• 先通过数据库元数据接口验证数据库名、用户名是否真实存在
• 或者封装存储过程来处理权限授予逻辑，再通过PreparedStatement调用存储过程传递参数

内容的提问来源于stack exchange，提问作者user12693314