stringbuilder 拼接 sql 片段本身不防注入，真正防注入的关键是结构与参数分离：stringbuilder 仅拼接固定 sql 骨架，用户输入值必须通过 preparedstatement 的 ? 占位符绑定。
用 StringBuilder 拼接 SQL 片段本身不防注入，它只是字符串拼接工具。真正防止 SQL 注入的关键是：拼接的必须是 SQL 结构（如字段名、条件关键字），而所有用户输入值必须交给 PreparedStatement 的 ? 占位符，由 JDBC 预编译处理。
所以核心不是“StringBuilder 怎么防注入”，而是“如何让 StringBuilder 和 PreparedStatement 配合得安全又清晰”。
Java JDK 25
下载
Java JDK 25 来自 OpenJDK 官方归档，版本为 JDK 25，本条下载地址已指向官方 Windows x64 zip 安装包直链，适合调试旧项目或兼容旧版 Java 运行环境。
✅ 正确做法：结构拼接 + 参数分离
-
StringBuilder只负责拼出固定结构的 SQL 语句骨架（不含任何用户数据） - 所有变量值（如
status、userId）不拼进 SQL 字符串，而是存入List<object></object>或数组，最后统一绑定到PreparedStatement
StringBuilder sql = new StringBuilder("SELECT * FROM order WHERE 1=1");
List<object> params = new ArrayList();
if (status != null) {
sql.append(" AND status = ?");
params.add(status); // ← 用户输入进这里，不进SQL字符串
}
if (userId != null) {
sql.append(" AND user_id = ?");
params.add(userId);
}
// 执行时
PreparedStatement ps = conn.prepareStatement(sql.toString());
for (int i = 0; i <hr>
<h3>⚠️ 常见错误（绝对要避免）</h3>
<ul>
<li>直接把用户输入 <code>.append("'"+username+"'")</code> → <strong>严重注入漏洞</strong> </li>
<li>用 <code>StringBuilder</code> 拼出完整 SQL 后再用 <code>Statement.execute()</code> → <strong>等于没防</strong> </li>
<li>混用 <code>${}</code>（MyBatis）或 <code>+</code> 拼接参数 → 绕过预编译，形同裸奔 </li>
</ul>
<hr>
<h3>? 实用技巧提升安全性与可读性</h3>
<ul>
<li>初始化 <code>StringBuilder</code> 时预估容量（比如 <code>new StringBuilder(256)</code>），减少扩容开销 </li>
<li>条件多时用 <code>WHERE 1=1</code> 开头，避免判断首个 <code>WHERE</code> 关键字的逻辑 </li>
<li>把 <code>params</code> 和 SQL 拼接逻辑封装成方法，强制约束“只拼结构、不碰值” </li>
<li>对表名/字段名等<strong>元数据</strong>需动态拼接时，必须白名单校验（不能依赖用户输入）</li>
</ul>
<hr>
<h3>? 补充：现代写法更简洁（Java 15+）</h3>
<p>如果用 MyBatis，优先写 <code>#{param}</code>；<br>
如果手写 JDBC，也可用文本块 + formatted（仅用于日志或调试输出，<strong>不可用于实际执行的 SQL</strong>）：</p>
<pre class="brush:java;toolbar:false;">// ❌ 错误：不能这样生成可执行SQL
String sql = """
SELECT * FROM users
WHERE name = '%s'
""".formatted(username); // 注入风险极高！
// ✅ 正确：文本块只写模板，? 占位符留给 PreparedStatement
String sqlTemplate = """
SELECT id, name FROM users
WHERE status = ? AND created_at > ?
""";
不复杂但容易忽略：拼接归拼接，赋值归赋值，界限必须划清。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
