Java（JDBC）中使用SQL语句时占位符失效问题求助

嘿，这个问题我之前也碰到过！核心原因是PreparedStatement的?占位符只能用来替代SQL中的参数值，不能替换表名、列名这类SQL结构元素。

你看报错信息里的SQL：SELECT * FROM 'technicians' WHERE 'techID' LIKE 16，这里的表名和列名被自动加上了单引号——这是因为stmt.setString()会给字符串参数添加单引号来转义，但表名和列名在MariaDB/MySQL里是不能用单引号包裹的（正确做法是用反引号`或者直接裸写），这就直接导致了语法错误。而你手动替换的时候没有加单引号，所以能正常执行。

解决方案 #

既然表名和列名属于SQL结构的一部分，我们需要直接拼接它们到SQL字符串里，但一定要注意防范SQL注入风险——如果这些值来自用户输入，必须做严格的校验；如果是内部可控的参数（比如你例子里的固定值），那相对安全。

修改后的select方法代码如下：

import java.util.Arrays;

public static boolean select(login bean) {
    // 先校验表名和列名的合法性，避免SQL注入
    if (!isValidTableName(bean.getTable()) || !isValidColumnName(bean.getColumn())) {
        System.err.println("Invalid table or column name");
        return false;
    }

    // 用String.format拼接表名和列名，参数值仍用占位符
    String sql = String.format("SELECT * FROM `%s` WHERE `%s` LIKE ?", 
                               bean.getTable(), bean.getColumn());
    ResultSet rs;
    
    try ( Connection conn = db_util.getConn(db_type.MYSQL);
          PreparedStatement stmt = conn.prepareStatement(sql); ) {
        // 只需要给ID参数赋值
        stmt.setInt(1, bean.getID());
        rs = stmt.executeQuery();
        
        if (rs.next()) {
            System.out.println("Y");
            return true;
        } else {
            System.err.println("N");
            return false;
        }
    } catch (Exception e) {
        System.err.println(e);
        return false;
    }
}

// 自定义校验方法，根据你的数据库实际情况调整规则
private static boolean isValidTableName(String tableName) {
    // 比如只允许白名单内的表名
    return Arrays.asList("technicians", "users", "tickets").contains(tableName);
}

private static boolean isValidColumnName(String columnName) {
    // 用正则校验列名格式，只允许字母、数字和下划线
    return columnName.matches("[a-zA-Z0-9_]+");
}

关键说明 #

1. 用反引号`包裹表名和列名：这是MariaDB/MySQL的标准写法，能避免因为名称是关键字而导致的错误。
2. 参数值仍用占位符：ID这类动态值还是要用?占位符，通过stmt.setInt()赋值，保证参数的安全性，避免SQL注入。
3. 合法性校验：如果表名和列名可能来自外部输入，一定要通过白名单或者正则校验来过滤非法值，防止恶意注入。

这样修改后，执行的SQL就会变成SELECT * FROM techniciansWHEREtechID LIKE 16，完全符合语法规范，就能正常运行啦！

内容的提问来源于stack exchange，提问作者Barbaldo