Java中实现PreparedStatement WHERE子句的动态控制需求

首先得明确一个关键点：JDBC的PreparedStatement一旦通过con.prepareStatement(sql)创建完成，内部的SQL语句就固定死了，没法动态修改或移除WHERE子句。所以核心思路是在创建PreparedStatement之前，根据是否需要传入参数来动态生成对应的SQL语句。

下面给你几种实用的实现方式：

方法1：重载方法，区分两种场景 #

这种方式逻辑最清晰，调用方可以直接根据需求选择对应方法：

// 不带参数，返回整张表数据
public void executeMyQuery(Connection con) throws SQLException {
    String sql = "SELECT * FROM STUDENT";
    // 用try-with-resources自动关闭资源，避免泄漏（JDBC最佳实践）
    try (PreparedStatement ps = con.prepareStatement(sql)) {
        ResultSet rs = ps.executeQuery();
        // 这里可以添加结果集处理逻辑，比如遍历rs获取数据
    }
}

// 带ID参数，返回匹配的单行/多行数据
public void executeMyQuery(Connection con, int studentId) throws SQLException {
    String sql = "SELECT * FROM STUDENT WHERE ID = ?";
    try (PreparedStatement ps = con.prepareStatement(sql)) {
        ps.setInt(1, studentId);
        ResultSet rs = ps.executeQuery();
        // 处理结果集
    }
}

方法2：单方法支持可选参数（用Integer包装类） #

如果不想拆分两个方法，可以用Integer作为参数（允许传入null），通过条件判断动态拼接SQL：

public void executeMyQuery(Connection con, Integer studentId) throws SQLException {
    StringBuilder sqlBuilder = new StringBuilder("SELECT * FROM STUDENT");
    // 如果传入了有效ID，就追加WHERE子句
    if (studentId != null) {
        sqlBuilder.append(" WHERE ID = ?");
    }
    String sql = sqlBuilder.toString();
    
    try (PreparedStatement ps = con.prepareStatement(sql)) {
        // 有参数时才设置占位符的值
        if (studentId != null) {
            ps.setInt(1, studentId);
        }
        ResultSet rs = ps.executeQuery();
        // 处理结果集
    }
}

调用示例：

• 查询整张表：executeMyQuery(con, null);
• 查询指定ID：executeMyQuery(con, 7);

重要提醒：防SQL注入 #

不管用哪种方式，绝对不要直接把参数拼进SQL字符串里（比如写"SELECT * FROM STUDENT WHERE ID = " + studentId），一定要用PreparedStatement的?占位符，再通过setXxx方法设置参数——这是避免SQL注入攻击的关键，同时也能保证参数类型的正确性。

内容的提问来源于stack exchange，提问作者Apex Predator