JDBC PreparedStatement给CREATE LOGIN语句传参报语法错误如何解决

问题根因 #

SQL Server 中CREATE LOGIN这类DDL语法不支持直接在PASSWORD =后使用PreparedStatement的参数占位符。JDBC驱动执行时会把?替换为内置参数名@P0，但SQL Server的语法解析器不允许在该位置传入参数变量，因此触发语法报错。

解决方案 #

方案1：通过sp_executesql包装执行（生产环境推荐，无SQL注入风险） #

使用SQL Server官方提供的动态SQL存储过程sp_executesql包装DDL语句，即可正常传入参数：

String sql = "EXEC sp_executesql N'create login user_bob with password = @pwd', N'@pwd nvarchar(128)', ?;";
try (var conn = dataSource.getConnection()) {
    try (var stmt = conn.prepareStatement(sql)) {
        stmt.setString(1,  conf.getPwd());
        stmt.executeUpdate();
    } catch (SQLException e) {
        throw new RuntimeException("创建登录账号失败，已回滚，原因：", e);
    }
}

说明：nvarchar(128)是SQL Server登录密码的最大合法长度，符合官方语法规范。

方案2：手动拼接SQL（仅测试使用，不推荐生产环境） #

如果是临时测试场景，可以手动拼接密码字符串，注意必须转义密码中的单引号避免语法错误和SQL注入风险：

// 转义密码中的单引号，避免语法错误
String escapedPwd = conf.getPwd().replace("'", "''");
String sql = "create login user_bob with password = '" + escapedPwd + "';";
try (var conn = dataSource.getConnection()) {
    try (var stmt = conn.createStatement()) {
        stmt.executeUpdate(sql);
    } catch (SQLException e) {
        throw new RuntimeException("创建登录账号失败，已回滚，原因：", e);
    }
}

内容的提问来源于stack exchange，提问作者Feng Lei