新手求助：如何用ArrayList动态插入数据库及从JSON导入本地表？

你遇到的问题核心在于直接拼接ArrayList到SQL字符串时，字符串类型的值没有被正确包裹单引号，而且这种字符串拼接SQL的方式存在严重的SQL注入风险，绝对不能在生产环境使用。下面给你两种安全可靠的实现方案，同时解答你关于JSON数据插入的问题：

一、使用PreparedStatement实现安全的动态插入 #

PreparedStatement是JDBC提供的安全执行SQL的方式，它会自动处理不同数据类型的格式（比如给字符串加单引号），还能有效防止SQL注入。具体实现步骤如下：

1. 拼接字段列表为逗号分隔的字符串
2. 生成对应数量的SQL占位符（?）
3. 通过setObject方法为每个占位符赋值
4. 执行插入操作

示例代码：

import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.SQLException;
import java.util.ArrayList;
import java.util.Collections;

public class DynamicInsertExample {
    public static void main(String[] args) {
        // 假设conn是已经获取的数据库连接（实际项目中建议通过连接池获取）
        Connection conn = null; // 替换为你的连接获取逻辑

        ArrayList<String> columns = new ArrayList<>();
        ArrayList<Object> values = new ArrayList<>(); // 用Object存储不同类型的值
        columns.add("userid");
        columns.add("name");
        columns.add("email");
        values.add(userID); // 假设这些变量已经定义并赋值
        values.add(name);
        values.add(email);

        // 拼接字段部分
        String columnStr = String.join(", ", columns);
        // 生成对应数量的占位符
        String placeholders = String.join(", ", Collections.nCopies(columns.size(), "?"));

        String sql = String.format("INSERT INTO users (%s) VALUES (%s)", columnStr, placeholders);

        // 使用try-with-resources自动关闭资源，避免内存泄漏
        try (PreparedStatement pstmt = conn.prepareStatement(sql)) {
            // 为每个占位符赋值（JDBC参数索引从1开始）
            for (int i = 0; i < values.size(); i++) {
                pstmt.setObject(i + 1, values.get(i));
            }
            // 执行插入
            int affectedRows = pstmt.executeUpdate();
            System.out.println("成功插入 " + affectedRows + " 条数据");
        } catch (SQLException e) {
            // 实际项目中建议用日志框架记录异常，而非直接打印
            e.printStackTrace();
        }
    }
}

为什么这比你原来的方法好？ #

• 自动处理数据格式：字符串会被自动包裹单引号，数字、日期等类型也会被正确格式化
• 防止SQL注入：占位符机制避免了恶意SQL片段被执行
• 代码更健壮：不需要手动拼接复杂的字符串，减少出错概率

二、从JSON获取数据插入数据库 #

如果你需要从JSON中提取数据插入数据库，可以用JSON解析库（比如Jackson或Gson）来解析JSON，再复用上面的PreparedStatement方法插入。下面以Jackson为例：

步骤1：添加Jackson依赖（Maven） #

<dependency>
    <groupId>com.fasterxml.jackson.core</groupId>
    <artifactId>jackson-databind</artifactId>
    <version>2.15.2</version> <!-- 建议使用最新稳定版 -->
</dependency>

步骤2：解析JSON并插入数据库 #

假设你的JSON字符串格式如下：

{
  "userid": "u_1001",
  "name": "Ashutosh Soni",
  "email": "ashutosh@example.com"
}

示例代码：

import com.fasterxml.jackson.databind.JsonNode;
import com.fasterxml.jackson.databind.ObjectMapper;
import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.SQLException;
import java.util.ArrayList;
import java.util.Collections;

public class JsonToDbExample {
    public static void main(String[] args) {
        Connection conn = null; // 替换为你的数据库连接
        String jsonStr = "{\"userid\":\"u_1001\",\"name\":\"Ashutosh Soni\",\"email\":\"ashutosh@example.com\"}";

        try {
            // 解析JSON字符串
            ObjectMapper objectMapper = new ObjectMapper();
            JsonNode jsonNode = objectMapper.readTree(jsonStr);

            ArrayList<String> columns = new ArrayList<>();
            ArrayList<Object> values = new ArrayList<>();

            // 遍历JSON的所有键值对
            jsonNode.fields().forEachRemaining(entry -> {
                columns.add(entry.getKey());
                // 根据实际数据类型选择转换方法，比如asInt()、asDouble()，asText()兼容大多数场景
                values.add(entry.getValue().asText());
            });

            // 复用动态插入的逻辑
            String columnStr = String.join(", ", columns);
            String placeholders = String.join(", ", Collections.nCopies(columns.size(), "?"));
            String sql = String.format("INSERT INTO users (%s) VALUES (%s)", columnStr, placeholders);

            try (PreparedStatement pstmt = conn.prepareStatement(sql)) {
                for (int i = 0; i < values.size(); i++) {
                    pstmt.setObject(i + 1, values.get(i));
                }
                pstmt.executeUpdate();
                System.out.println("JSON数据插入成功");
            }
        } catch (SQLException | IOException e) {
            e.printStackTrace();
        }
    }
}

注意事项 #

• 如果JSON中有不同数据类型（比如数字、布尔值），可以用entry.getValue().asInt()、entry.getValue().asBoolean()等方法转换，确保插入的数据类型和数据库字段匹配
• 实际项目中建议对JSON的键做校验，避免插入数据库不存在的字段

内容的提问来源于stack exchange，提问作者Ashutosh Soni