如何用Java实现类似PreparedStatement的安全MySQL SQL语句生成

核心实现思路 #

你的场景已经固定了表名和字段名，不需要处理动态表/字段的注入风险，只需要保证前端传入的字段值被正确转义即可，有两种可行方案：

• 优先使用JDBC自带的PreparedStatement参数绑定，这是官方推荐的最安全的方案，不需要手动处理转义，底层会自动完成值的转义和类型校验
• 如果确实需要手动拼接SQL（比如需要动态生成完整SQL字符串导出、打印等场景），可以使用MySQL官方驱动自带的转义工具类处理值

方案1：使用PreparedStatement参数绑定（推荐） #

这个方案不需要手动转义，完全规避注入风险，示例代码如下：

import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.util.ArrayList;

public class SafeSqlBuilder {
    // 已固定的表名、查询字段，避免动态拼接带来的注入风险
    private static final String BASE_SQL = "SELECT id, name, age, department FROM user WHERE 1=1";

    public ResultSet queryUser(String inputName, Integer inputAge, String inputDepartment, Connection conn) throws SQLException {
        StringBuilder sqlBuilder = new StringBuilder(BASE_SQL);
        // 存储需要绑定的参数，顺序和拼接的条件顺序严格一致
        ArrayList<Object> params = new ArrayList<>();

        // 动态拼接WHERE条件
        if (inputName != null && !inputName.isBlank()) {
            sqlBuilder.append(" AND name = ?");
            params.add(inputName);
        }
        if (inputAge != null) {
            sqlBuilder.append(" AND age = ?");
            params.add(inputAge);
        }
        if (inputDepartment != null && !inputDepartment.isBlank()) {
            sqlBuilder.append(" AND department = ?");
            params.add(inputDepartment);
        }

        // 预编译SQL
        PreparedStatement pstmt = conn.prepareStatement(sqlBuilder.toString());
        // 批量绑定参数
        for (int i = 0; i < params.size(); i++) {
            pstmt.setObject(i + 1, params.get(i));
        }
        // 执行查询返回结果
        return pstmt.executeQuery();
    }
}

注意：所有动态值的位置都用?占位符代替，绝对不要直接把前端输入拼到SQL字符串里，参数绑定的方式会自动处理所有转义逻辑，包括单引号、特殊字符、MySQL关键字逃逸等，不会出现转义遗漏的问题。

方案2：手动转义拼接SQL（仅用于需要生成完整SQL字符串的场景） #

如果确实需要拿到完整的可执行SQL字符串，不要自己写转义逻辑，直接用MySQL驱动自带的转义工具类处理，示例代码如下：

import com.mysql.cj.jdbc.EscapeProcessor;
import com.mysql.cj.jdbc.JdbcConnection;
import java.sql.SQLException;

public class ManualSafeSqlBuilder {
    private static final String BASE_SQL = "SELECT id, name, age, department FROM user WHERE 1=1";

    public String buildSafeSql(String inputName, Integer inputAge, String inputDepartment, JdbcConnection conn) throws SQLException {
        StringBuilder sqlBuilder = new StringBuilder(BASE_SQL);
        EscapeProcessor escapeProcessor = new EscapeProcessor(conn.getPropertySet());

        if (inputName != null && !inputName.isBlank()) {
            // 转义字符串值后外层包裹单引号
            String escapedName = "'" + escapeProcessor.escapeSQL(inputName) + "'";
            sqlBuilder.append(" AND name = ").append(escapedName);
        }
        if (inputAge != null) {
            // 数字类型优先做类型校验，确认是合法数值后直接拼接即可
            sqlBuilder.append(" AND age = ").append(inputAge);
        }
        if (inputDepartment != null && !inputDepartment.isBlank()) {
            String escapedDept = "'" + escapeProcessor.escapeSQL(inputDepartment) + "'";
            sqlBuilder.append(" AND department = ").append(escapedDept);
        }
        return sqlBuilder.toString();
    }
}

注意：如果使用的是5.x版本的MySQL驱动，转义工具类对应为com.mysql.jdbc.EscapeTokenizer，优先使用官方提供的转义实现，不要自己手写转义逻辑，避免遗漏边界场景导致注入风险。

注意事项 #

• 绝对不要把前端传入的内容直接拼接到SQL的表名、字段名、排序字段、排序方向位置，这些位置无法通过参数绑定处理，如果需要动态拼接这些内容，必须在后端做严格的白名单校验，只能允许预设的合法值通过
• 数值类型的参数优先做类型转换校验，确认是合法数字后再拼接或者绑定，避免字符串伪装数值的注入场景

内容的提问来源于stack exchange，提问作者Jack Ma