需正则表达式实现StringBuilder动态SQL占位符替换

我明白你遇到的痛点了：直接用replace("?", value)要么会把所有?替换成同一个值，要么没法精准对应每个占位符到Map里的键——毕竟你的Map键是去掉a./b.前缀的字段名，和SQL里的条件是一一对应的，但普通的replace方法做不到这种关联匹配。下面给你几个实用的解决方案：

方案1：按参数顺序逐个替换（简单直接） #

先把SQL里?对应的Map键按出现顺序列出来，然后逐个替换第一个出现的占位符，这样能保证每个参数对应正确：

StringBuilder sqlBuilder = new StringBuilder("SELECT a.accountNumber, a.eventKey, a.createdAtUtc FROM myFirstTable a, mySecondTable b where a.eventKey = b.eventKey and a.status = ? and a.accountNumber = ?");
Map<String, Object> paramMap = new HashMap<>();
paramMap.put("status", "ACTIVE");
paramMap.put("accountNumber", "123456");

// 按SQL中?的出现顺序，列出对应的Map键
List<String> paramOrder = Arrays.asList("status", "accountNumber");

for (String key : paramOrder) {
    Object value = paramMap.get(key);
    // 字符串类型参数要加单引号，数字类型不用，可根据实际场景调整
    String replacement = value instanceof String ? "'" + value + "'" : value.toString();
    // 找到第一个?的位置并替换
    int placeholderIndex = sqlBuilder.indexOf("?");
    if (placeholderIndex != -1) {
        sqlBuilder.replace(placeholderIndex, placeholderIndex + 1, replacement);
    }
}

System.out.println(sqlBuilder.toString());

这个方法适合参数数量不多的场景，只要保证paramOrder的顺序和SQL里?的顺序一致就没问题。

方案2：正则匹配自动关联字段（灵活适配） #

如果你不想手动维护参数顺序，可以用正则表达式匹配带前缀的条件语句，自动提取去掉前缀的字段名，再从Map里取对应值替换：

StringBuilder sqlBuilder = new StringBuilder("SELECT a.accountNumber, a.eventKey, a.createdAtUtc FROM myFirstTable a, mySecondTable b where a.eventKey = b.eventKey and a.status = ? and a.accountNumber = ?");
Map<String, Object> paramMap = new HashMap<>();
paramMap.put("status", "ACTIVE");
paramMap.put("accountNumber", "123456");

// 匹配"a.字段名 = ?"或"b.字段名 = ?"的模式
Pattern paramPattern = Pattern.compile("(a\\.|b\\.)(\\w+) = \\?");
Matcher matcher = paramPattern.matcher(sqlBuilder);
StringBuffer resultBuffer = new StringBuffer();

while (matcher.find()) {
    String fieldName = matcher.group(2); // 提取去掉前缀的字段名，比如"status"
    Object value = paramMap.get(fieldName);
    String replacement = value instanceof String ? "'" + value + "'" : value.toString();
    // 把整个条件替换成带值的版本，比如"a.status = ?" → "a.status = 'ACTIVE'"
    matcher.appendReplacement(resultBuffer, matcher.group(1) + fieldName + " = " + replacement);
}
matcher.appendTail(resultBuffer);

System.out.println(resultBuffer.toString());

这个方法更智能，不需要关心参数顺序，只要Map键和去掉前缀的字段名对应就能自动替换所有匹配的条件。

重要提醒：避免SQL注入风险 #

如果你的参数来自外部用户输入，强烈推荐用PreparedStatement代替字符串替换——这是最安全的做法，数据库会自动处理参数转义，彻底避免SQL注入：

String sql = "SELECT a.accountNumber, a.eventKey, a.createdAtUtc FROM myFirstTable a, mySecondTable b where a.eventKey = b.eventKey and a.status = ? and a.accountNumber = ?";
PreparedStatement pstmt = connection.prepareStatement(sql);
// 按参数位置设置值，1对应第一个?，2对应第二个?
pstmt.setString(1, (String) paramMap.get("status"));
pstmt.setString(2, (String) paramMap.get("accountNumber"));
// 后续执行查询即可
ResultSet rs = pstmt.executeQuery();

内容的提问来源于stack exchange，提问作者Orby