Java SQL：PreparedStatement报语法错误，Statement版本却运行正常

这是个非常典型的PreparedStatement使用误区，咱们一步步拆解问题：

问题原因 #

先对比你的两段代码：

原Statement代码（正常运行） #

protected ResultSet tabQuery(String query) throws SQLException { 
    String tabQuery = "SELECT * FROM " + query; 
    Statement statement = connection.createStatement(); 
    return statement.executeQuery(tabQuery); 
}

这段代码直接把传入的query（即表名）拼接到SQL字符串中，最终生成的SQL是SELECT * FROM your_table，语法完全合法。

有问题的PreparedStatement代码 #

protected ResultSet tabQuery(String query) throws SQLException { 
    String tabQuery = "SELECT * FROM ?"; 
    PreparedStatement statement = connection.prepareStatement(tabQuery); 
    statement.setString(1, query); 
    System.out.println(statement); 
    return statement.executeQuery(); 
}

这里的核心错误是：PreparedStatement的占位符?只能用来替换SQL中的参数值，不能替换表名、列名这类数据库对象名称。

当你调用setString(1, query)时，PreparedStatement会把传入的表名当成字符串字面量处理，自动给它加上单引号，最终生成的SQL会变成：

SELECT * FROM 'your_table'

而SQL语法里，表名是不能用单引号包裹的，这就直接导致了语法错误。

解决方法 #

如果你的业务确实需要动态指定表名，有两种可行的处理方式：

1. 严格校验后使用Statement拼接 #

既然不能用PreparedStatement替换表名，那只能回到Statement，但必须严格校验输入的表名，避免SQL注入风险：

// 先定义允许访问的表名白名单
private static final Set<String> ALLOWED_TABLES = Set.of("users", "orders", "products");

protected ResultSet tabQuery(String tableName) throws SQLException { 
    // 校验表名是否在允许列表中
    if (!ALLOWED_TABLES.contains(tableName)) {
        throw new IllegalArgumentException("Invalid table name: " + tableName);
    }
    // 校验通过后再拼接SQL
    String tabQuery = "SELECT * FROM " + tableName; 
    Statement statement = connection.createStatement(); 
    return statement.executeQuery(tabQuery); 
}

这种方式通过白名单校验，把输入限制在安全范围内，彻底避免了恶意SQL注入的风险。

2. 改用存储过程（可选） #

如果你的数据库支持存储过程，可以把动态表名的逻辑放到存储过程里，在存储过程中处理表名的拼接和校验，然后Java代码调用存储过程即可。不过这种方式复杂度更高，适合复杂业务场景。

补充：PreparedStatement的正确用法 #

再强调一下，PreparedStatement的核心价值是防止SQL注入和预编译提升性能，它的占位符是用来替换参数值的，比如：

// 正确用法：用?替换WHERE条件的参数值
protected ResultSet getUserById(int userId) throws SQLException { 
    String sql = "SELECT * FROM users WHERE id = ?"; 
    PreparedStatement statement = connection.prepareStatement(sql); 
    statement.setInt(1, userId); 
    return statement.executeQuery(); 
}

这种场景下，占位符会被正确处理，既安全又高效。

内容的提问来源于stack exchange，提问作者Duy