如何修复Java中调用MySQL COUNT函数时的语法错误？

核心错误原因 #

你代码里的问题是JDBC PreparedStatement的占位符?不能用来替换表名。预编译语句会把通过setString()传入的表名当作字符串常量处理，自动添加单引号，最终生成的SQL会变成：

SELECT COUNT(*) AS total FROM 'Country'

MySQL中表名不需要加单引号（特殊表名用反引号包裹），这种写法直接违反SQL语法规范，所以触发了SQLSyntaxErrorException。

解决方法 #

因为表名属于SQL结构的一部分，不能用预编译占位符，只能直接拼接，但必须严格防范SQL注入风险，比如做白名单校验：

import java.util.Arrays;
import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

int tableCounter(String tableName) {
    int num = 0;
    
    // 白名单校验：只允许指定的合法表名
    if (!Arrays.asList("Country", "User", "Product").contains(tableName)) {
        throw new IllegalArgumentException("非法的表名");
    }
    
    // 用反引号包裹表名，兼容含特殊字符/关键字的表名
    String sql = String.format("SELECT COUNT(*) AS total FROM `%s`", tableName);
    
    try(Connection conn = letConnect(); 
        PreparedStatement ps = conn.prepareStatement(sql);
        ResultSet rs = ps.executeQuery()) {
        
        // 必须先调用next()移动到结果集的第一行
        if (rs.next()) {
            num = rs.getInt("total");
        }
    } catch (SQLException e) {
        e.printStackTrace();
    }
    return num;
}

额外注意点 #

• SQL注入防护：绝对不能直接拼接未经校验的用户输入作为表名，必须用白名单限制合法表名，避免恶意SQL注入攻击。
• 结果集处理：原代码中没有调用rs.next()就直接获取值，即使SQL正确，也会因为结果集指针初始在第一行之前而抛出SQLException，必须先调用rs.next()确认有结果后再取值。
• 特殊表名兼容：如果表名包含空格、MySQL关键字（比如Order），用反引号`包裹表名可以避免语法错误。

内容的提问来源于stack exchange，提问作者Brandon Thies