Postgres参数化查询传入字段列表被自动添加单引号如何解决？

问题原因 #

你遇到的是参数化查询的固有特性：[:xxx]这类占位符是专为查询值设计的，工具会自动对传入内容做转义、加单引号处理，避免SQL注入风险，所以不能用来动态传入字段名、表名、SQL片段这类非值内容。你之前用到的where column_name=[:abc]能正常运行，就是因为这里的abc是查询值，正好匹配参数化占位符的设计用途。

可行解决方案 #

• 方案1：使用框架支持的直接替换占位符
  绝大多数SQL执行框架都区分「值绑定占位符」和「直接替换占位符」，比如常见的${xxx}就是直接字符串替换的语法，不会自动加单引号。你可以查所用queryRunner对应框架的官方文档，替换原来的[:metrics]为框架支持的直接替换语法即可。

  注意：该方案必须对传入的metrics内容做严格的白名单校验，禁止传入用户可随意控制的内容，否则会存在SQL注入风险。

• 方案2：手动拼接SQL字段部分+白名单校验
  如果框架没有对应替换语法，可以自己拼接动态字段部分，搭配白名单校验保证安全，示例代码如下：

  // 提前定义允许查询的字段白名单
  private static final Set<String> PERMITTED_FIELDS = new HashSet<>(Arrays.asList("name", "age", "id", "gender"));
  
  // 校验传入的所有字段都在白名单内
  List<String> fieldList = Arrays.asList(metrics.split(","));
  for (String field : fieldList) {
      String trimField = field.trim();
      if (!PERMITTED_FIELDS.contains(trimField)) {
          throw new IllegalArgumentException("非法查询字段：" + trimField);
      }
  }
  
  // 拼接最终查询SQL
  String GET_DATA = "SELECT " + String.join(",", fieldList) + " from 你的表名";
  // 后续的查询条件参数仍然使用原来的[:xxx]参数绑定写法即可
  

注意事项 #

所有动态拼接SQL/直接替换占位符的场景，都绝对不能直接使用用户未经过滤的输入内容，必须通过白名单限制可选范围，避免SQL注入漏洞导致数据泄露、被篡改甚至删除。

内容的提问来源于stack exchange，提问作者arj