如何从JTextField输入生成SQL插入语句？语法错误求助

首先一眼就能看到的问题：你代码里混进了enter code here这个冗余内容，这是复制代码时留下的垃圾文本，直接导致SQL语法断裂，这是最直接的错误源，先把它删掉！

除了这个明显的问题，你的代码还有两个核心隐患：

• 字符串拼接时很容易出现引号不匹配、逗号遗漏的情况，比如用户输入里如果包含单引号（比如名字是O'Neil），会直接让你的SQL语句彻底失效；
• 直接拼接用户输入到SQL里存在严重的SQL注入风险，攻击者可以通过构造特殊输入篡改你的SQL逻辑，甚至删除整个数据库表，这是绝对不能出现在生产代码里的写法。

临时修复语法错误（仅用于测试，不推荐生产环境） #

先把冗余内容删掉，再调整拼接格式，确保空格、逗号、引号都正确：

String sql = "INSERT INTO user VALUES ('"+ jtfEmailAddr.getText()+"'," + 
             "'"+ jtfPassword2.getText() + "'," + 
             "'"+ jtfFName.getText() +"','" + jtfSurname.getText() +"')" + 
             " ON DUPLICATE KEY UPDATE password='" + jtfPassword2.getText() + "'," + 
             "firstname='" + jtfFName.getText() + "'," + 
             "lastname='" + jtfSurname.getText() + "'";

注意ON DUPLICATE KEY前面要加空格，UPDATE的字段之间用逗号正确分隔。

推荐的安全解决方案：使用PreparedStatement #

这才是Java操作数据库的标准安全写法，既能自动处理特殊字符避免语法错误，又能彻底杜绝SQL注入：

// 明确指定字段列表，避免表结构变化导致的错误，可读性也更强
String sql = "INSERT INTO user (email, password, firstname, lastname) " +
             "VALUES (?, ?, ?, ?) " +
             "ON DUPLICATE KEY UPDATE password=?, firstname=?, lastname=?";

PreparedStatement pstmt = database.getConnection().prepareStatement(sql);
// 设置INSERT对应的参数
pstmt.setString(1, jtfEmailAddr.getText());
pstmt.setString(2, jtfPassword2.getText());
pstmt.setString(3, jtfFName.getText());
pstmt.setString(4, jtfSurname.getText());
// 设置UPDATE对应的参数
pstmt.setString(5, jtfPassword2.getText());
pstmt.setString(6, jtfFName.getText());
pstmt.setString(7, jtfSurname.getText());

pstmt.executeUpdate();

用?作为占位符，通过setString方法传入参数，JDBC会自动帮你处理单引号转义、格式校验等问题，彻底解决语法错误和安全风险。

额外排查小技巧 #

以后遇到SQL语法错误时，可以先把生成的SQL语句打印出来（比如System.out.println(sql)），直接看拼接后的完整语句，就能快速定位引号不匹配、冗余字符这类低级错误。

内容的提问来源于stack exchange，提问作者Aaron