纯Java JDBC项目中如何将字符串内的占位符替换为整型数值？

实现方案 #

方案1：直接字符串替换（仅适用于测试/内部工具场景，生产环境禁止） #

如果必须保留现有<<empid>>占位符的写法，直接调用String类的replace方法即可完成替换：

String query = "select * from employee where empid = <<empid>> and designation = 'Doctor'";
int actualEmpId = 123; // 替换为实际的empid取值
if(query.contains("<<empid>>")) {
    query = query.replace("<<empid>>", String.valueOf(actualEmpId));
}

风险提示：该方案存在严重SQL注入风险，如果empid的取值来自用户输入、外部传参等不可信来源，严禁在生产环境使用。

方案2：使用JDBC原生预编译语句（生产环境首选） #

纯JDBC环境下原生支持PreparedStatement预编译机制，不需要自定义<<>>格式占位符，无第三方依赖，安全且性能更优，实现步骤如下：

1. 先将SQL中的自定义占位符修改为JDBC标准的?占位符：

String query = "select * from employee where empid = ? and designation = 'Doctor'";

2. 通过数据库连接创建预编译语句，传入参数执行：

int actualEmpId = 123;
// conn为已初始化的JDBC Connection对象
try (PreparedStatement pstmt = conn.prepareStatement(query)) {
    // 占位符索引从1开始，setInt自动适配int类型参数，无需手动转义
    pstmt.setInt(1, actualEmpId);
    ResultSet rs = pstmt.executeQuery();
    // 后续处理查询结果的逻辑
} catch (SQLException e) {
    // 自定义异常处理逻辑
    e.printStackTrace();
}

该方案优势：

• 完全规避SQL注入风险，JDBC自动完成参数转义
• 无需手动处理类型转换，支持setInt/setString/setDate等多种类型参数设置
• 同模板SQL可复用数据库执行计划，执行效率更高

兼容自定义占位符的安全方案 #

如果老项目规范要求必须保留<<>>格式的占位符，可先做一层占位符转换，再用预编译语句，兼顾规范和安全性：

String query = "select * from employee where empid = <<empid>> and designation = 'Doctor'";
// 先将自定义占位符替换为标准?
if(query.contains("<<empid>>")) {
    query = query.replace("<<empid>>", "?");
}
// 后续照常使用PreparedStatement传参执行，逻辑同方案2

内容的提问来源于stack exchange，提问作者Sakura