Spring Data JPA 使用预编译 SQL（PreparedStatement）机制，日志中参数显示为 ? 是正常且安全的行为，并非错误；如需查看实际绑定值，需启用 Hibernate 的 TRACE 级别类型日志。
spring data jpa 使用预编译 sql（preparedstatement）机制，日志中参数显示为 `?` 是正常且安全的行为，并非错误；如需查看实际绑定值，需启用 hibernate 的 `trace` 级别类型日志。
在使用 @Query 注解配合 @Param 进行参数化查询时（例如 @Query("SELECT u FROM Users u WHERE u.email = :email")），你观察到控制台输出类似以下 SQL 日志：
Hibernate: select u1_0.id, u1_0.email, u1_0.full_name, u1_0.password, u1_0.role_num from users u1_0 where u1_0.email=?
这里的 ? 并非参数未传入或查询失效，而是 JDBC 预编译语句（PreparedStatement）的标准日志表现形式。Hibernate 为防止敏感信息泄露（如密码、邮箱、手机号等）及 SQL 注入风险，默认在 SQL 日志中隐藏实际参数值，仅占位显示 ?。底层执行时，参数会通过安全的二进制协议绑定到语句中，功能完全正常——你的 findUserByEmail(email) 方法逻辑正确，只要数据库存在匹配邮箱的记录，即可返回预期结果。
✅ 验证是否真正生效？
可在 Service 或测试类中添加断点或日志验证返回结果：
List<users> users = userRepository.findUserByEmail("test@example.com");
System.out.println("Found users: " + users.size()); // 若数据库有该邮箱，应输出 > 0</users>
? 如确需查看绑定的具体参数值（仅限开发/调试环境），请在 application.properties 或 application.yml 中启用更细粒度的日志：
application.properties：
logging.level.org.hibernate.SQL=DEBUG logging.level.org.hibernate.type.descriptor.sql.BasicBinder=TRACE # 或等效写法（推荐）： logging.level.org.hibernate.type=TRACE
启用后，日志将额外输出类似内容：
TRACE org.hibernate.type.descriptor.sql.BasicBinder - binding parameter [1] as [VARCHAR] - [test@example.com]
⚠️ 重要注意事项：
- 切勿在生产环境启用 TRACE 级别日志，尤其涉及 org.hibernate.type，可能导致敏感字段（如密码哈希、身份证号、邮箱）明文暴露于日志文件，引发严重安全风险；
- ? 的出现与 JPA 实体映射、字段名大小写、数据库表结构无关——若查询始终返回空列表，请检查：
- 数据库中是否存在对应 email 值（注意大小写、前后空格、特殊字符）；
- Users 实体中 email 字段的 @Column 映射是否正确（如 name = "email"）；
- 是否启用了 spring.jpa.show-sql=true（仅格式化 SQL，不显示参数值，已逐步被 logging.level.org.hibernate.SQL=DEBUG 取代）。
综上，? 是安全机制下的正常现象。专注业务逻辑验证与数据一致性，而非日志占位符形态——这是 Spring Data JPA 成熟设计的体现，而非缺陷。
