SQLite SELECT查询时Prepared Statement替代方案及报错解决

错误原因分析 #

你遇到的no such column: Maths错误，本质是直接拼接字符串参数到SQL语句里导致的语法错误。当你把subject（比如"Maths"）直接拼进SQL时，生成的语句是：

select * from subjects where column2 = Maths and column3 = 2

SQL会把Maths当成列名，而不是字符串值——因为你没给它加引号！这就导致SQL找不到名为Maths的列，自然报错。而且这种写法还存在严重的SQL注入风险，绝对不能用。

最佳解决方案 #

方案1：使用参数化的rawQuery（最直接） #

Android的SQLiteDatabase.rawQuery()支持用?作为占位符，然后通过参数数组传入值，系统会自动处理字符串的引号和转义，完美解决问题：

public int getSubjectId(int level, String subject){
    SQLiteDatabase db = this.getWritableDatabase();
    // 用?代替直接拼接参数
    String sql = "select * from " + SUBJECTS_TABLE_NAME + 
                 " where " + SUBJECTS_COL_2 + " = ? and " + SUBJECTS_COL_3 + " = ?";
    // 参数数组：顺序要和SQL里的?一一对应，整数转成字符串即可
    Cursor subjectCursor = db.rawQuery(sql, new String[]{subject, String.valueOf(level)});
    
    int subjectId = -1; // 默认返回-1表示未找到匹配数据
    if(subjectCursor.moveToFirst()){
        subjectId = subjectCursor.getInt(0);
    }
    
    // 务必关闭Cursor和数据库，避免内存泄漏
    subjectCursor.close();
    db.close();
    
    return subjectId;
}

方案2：使用Android封装的query()方法（更健壮） #

如果你想避免写完整的SQL语句，Android提供了query()方法，封装了查询逻辑，还能只查询需要的列，性能更好：

public int getSubjectId(int level, String subject){
    SQLiteDatabase db = this.getWritableDatabase();
    
    // 只查询ID列，比select *更高效
    String[] projection = {SUBJECTS_COL_1};
    // 查询条件，用?占位
    String selection = SUBJECTS_COL_2 + " = ? AND " + SUBJECTS_COL_3 + " = ?";
    // 对应占位符的参数
    String[] selectionArgs = {subject, String.valueOf(level)};
    
    Cursor cursor = db.query(
        SUBJECTS_TABLE_NAME,
        projection,
        selection,
        selectionArgs,
        null, // 不需要分组
        null, // 不需要分组过滤
        null  // 不需要排序
    );
    
    int subjectId = -1;
    if(cursor.moveToFirst()){
        // 用getColumnIndexOrThrow避免硬编码索引，更健壮
        subjectId = cursor.getInt(cursor.getColumnIndexOrThrow(SUBJECTS_COL_1));
    }
    
    cursor.close();
    db.close();
    return subjectId;
}

关于SQLiteStatement的误解 #

你提到的SQLiteStatement其实不是不能用于返回值的场景，而是它的定位不同：它主要用于执行没有结果集的操作（比如INSERT、UPDATE、DELETE），或者获取单一值的查询（比如SELECT COUNT(*) FROM ...），可以用simpleQueryForLong()这类方法获取结果。但如果要获取Cursor（多行多列的结果集），它就不适合了，这也是你找不到返回Cursor方法的原因。

总结 #

• 永远不要直接拼接用户输入到SQL语句里，既会导致语法错误，又有SQL注入风险。
• 参数化查询是最佳实践，Android的rawQuery和query()都是安全且易用的选择。
• SQLiteStatement适合无结果集或单一值的场景，获取Cursor请用前面两种方案。

内容的提问来源于stack exchange，提问作者Roonil