Java中如何构造PostgreSQL全字段可变的插入查询字符串？

• 你写的String stmt = "Insert into %s (%s) values(%s)";这个格式思路是对的，完全不需要正则表达式——正则是用来处理复杂字符串匹配、替换场景的，这里用简单的占位符替换就足够。

• 首先你需要把每张表的插入信息封装成一个实体类，方便在ArrayList里存储，比如：

class TableInsertInfo {
    String tableName;
    List<String> columnNames;
    List<Object> values;

    public TableInsertInfo(String tableName, List<String> columnNames, List<Object> values) {
        this.tableName = tableName;
        this.columnNames = columnNames;
        this.values = values;
    }
}

把你的ArrayList改成ArrayList<TableInsertInfo>，每张表对应一个该类的实例。

• 遍历集合生成SQL的基础写法（注意：仅用于生成示例SQL，不要用这种方式执行真实插入）：

ArrayList<TableInsertInfo> tableList = new ArrayList<>();
// 先往集合里添加测试数据
tableList.add(new TableInsertInfo("accounts", Arrays.asList("id", "balance"), Arrays.asList(1, 78900)));
tableList.add(new TableInsertInfo("customers", Arrays.asList("name", "balance"), Arrays.asList("bailey", 9000)));
tableList.add(new TableInsertInfo("savings", Arrays.asList("name", "remaining_balance"), Arrays.asList("sean", 8900.90)));

for (TableInsertInfo info : tableList) {
    // 拼接列名字符串
    String columns = String.join(",", info.columnNames);
    // 处理值：字符串类型要加单引号，数字直接转字符串
    List<String> valueStrs = new ArrayList<>();
    for (Object val : info.values) {
        if (val instanceof String) {
            valueStrs.add("'" + val + "'");
        } else {
            valueStrs.add(val.toString());
        }
    }
    String values = String.join(",", valueStrs);
    // 生成最终SQL
    String sql = String.format("INSERT INTO %s (%s) VALUES (%s);", info.tableName, columns, values);
    System.out.println(sql);
}

这段代码会输出你示例里的标准插入语句。

• 重点：不要用上面的字符串拼接方式执行真实插入——如果值里包含单引号（比如名字是O'Neil）会导致SQL语法错误，更严重的是存在SQL注入攻击风险。Java操作数据库的标准安全做法是用PreparedStatement：

// 假设已获取数据库连接Connection conn
for (TableInsertInfo info : tableList) {
    String columns = String.join(",", info.columnNames);
    // 生成占位符（比如2列就生成?,?）
    String placeholders = String.join(",", Collections.nCopies(info.columnNames.size(), "?"));
    String sql = String.format("INSERT INTO %s (%s) VALUES (%s);", info.tableName, columns, placeholders);
    
    try (PreparedStatement pstmt = conn.prepareStatement(sql)) {
        // 逐个设置占位符的值
        for (int i = 0; i < info.values.size(); i++) {
            pstmt.setObject(i + 1, info.values.get(i));
        }
        // 执行插入操作
        pstmt.executeUpdate();
    } catch (SQLException e) {
        e.printStackTrace();
    }
}

这种方式会自动处理值的类型转义，既避免语法错误，又能彻底防范SQL注入。

内容的提问来源于stack exchange，提问作者Just_CODING