使用Java JDBC创建MySQL数据库时出现SQL语法错误，寻求解决方案

你碰到的这个语法错误其实是个常见的JDBC误区——PreparedStatement的占位符?不能用来替换数据库名、表名这类SQL标识符，它只能用来绑定SQL语句里的「值」（比如INSERT的字段值、WHERE的条件参数）。

当你调用setString(1, "Algebra")时，JDBC驱动会自动给这个参数加上单引号，最终生成的SQL变成了：

CREATE DATABASE IF NOT EXISTS 'Algebra'

而MySQL里数据库名是不能用单引号包裹的，这就直接触发了语法错误，也就是你看到的near ''Algebra''的报错。

正确的解决方法：安全的字符串拼接（推荐） #

既然不能用占位符，我们只能手动拼接数据库名，但必须做合法性校验，避免SQL注入风险。MySQL对数据库名的要求是：只能包含字母、数字、下划线，长度不超过64字符，开头不能是数字。我们可以用正则来校验。

修改后的代码如下：

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.Statement;
import java.sql.SQLException;
import java.util.regex.Pattern;

public class DbTest {
    private Connection connection;
    // 合法数据库名的正则规则：开头是字母/下划线，后面是字母/数字/下划线，最多64字符
    private static final Pattern VALID_DB_NAME_PATTERN = Pattern.compile("^[a-zA-Z_][a-zA-Z0-9_]{0,63}$");

    public void createDb(String name) throws SQLException {
        // 第一步：校验数据库名合法性，拦截恶意输入
        if (!VALID_DB_NAME_PATTERN.matcher(name).matches()) {
            throw new IllegalArgumentException("Invalid database name: " + name + 
                "\nRules: Only letters, numbers, underscores allowed; must start with letter/underscore; max 64 characters.");
        }
        
        connection = DriverManager.getConnection("jdbc:mysql://localhost/?user=root&password=root");
        // 合法的数据库名直接拼接进SQL
        String createDbSql = "CREATE DATABASE IF NOT EXISTS " + name;
        // 用try-with-resources自动关闭Statement，避免资源泄漏
        try (Statement createDbStat = connection.createStatement()) {
            createDbStat.executeUpdate(createDbSql);
            System.out.println("Database '" + name + "' created successfully (or already exists)");
        } finally {
            // 关闭连接
            if (connection != null && !connection.isClosed()) {
                connection.close();
            }
        }
    }

    DbTest() {
        try {
            createDb("Algebra");
        } catch (SQLException | IllegalArgumentException e) {
            e.printStackTrace();
        }
    }

    public static void main(String[] args) {
        new DbTest();
    }
}

为什么这么做？ #

1. 避免SQL注入：正则校验确保传入的数据库名只能是合法的标识符，比如有人恶意传入Algebra; DROP DATABASE test;这类字符串，会直接被拦截，不会执行危险操作。
2. 符合MySQL语法：合法的数据库名无需加引号，直接拼接后生成的SQL是CREATE DATABASE IF NOT EXISTS Algebra，完全符合MySQL的语法要求。
3. 资源安全：用try-with-resources自动管理Statement的生命周期，不用手动关闭，避免资源泄漏。

内容的提问来源于stack exchange，提问作者匿名用户