StringBuilder拼SQL本身没问题，关键在逻辑健壮性：用List+join避免逗号错误，布尔标记控制WHERE/AND位置，转义双引号，只拼结构不拼值，元数据需白名单校验。
动态拼 SQL 时用 StringBuilder 本身没问题，关键在拼接逻辑是否健壮。常见语法错误（比如多逗号、少空格、引号错位、WHERE 后直接跟条件）不是 StringBuilder 的锅，而是边界控制和转义没做好。
避免手动加逗号：用 List + join 统一处理
别一边遍历一边 append(", ")，容易在开头或结尾漏判。先把字段或条件存进 List，最后用 String.join 拼接，天然干净。
- 拼 WHERE 条件：收集所有非空条件到 List
，再用 String.join(" AND ", conditions) 插入 - 拼 INSERT 字段和值：分别用两个 List 存 key 和 value，最后 sql.append("INSERT INTO t (").append(String.join(", ", fields)).append(") VALUES (").append(String.join(", ", values)).append(")");
- Java 8+ 可直接用 list.stream().collect(Collectors.joining(", "))，效果一致
控制 WHERE/AND 的空格与位置
WHERE 子句最易出错——要么没空格导致 "WHEREname="，要么多个 AND 连在一起。用布尔标记比反复判断更可靠。
Java注释规范Skills
下载
当用户要求为 Java 代码添加注释、修改注释、审查注释、整理注释格式，或要求按照代码注释规范处理 Java 文件时，使用本技能。本技能用于统一生成和维护 Java 类注释模板、按 Git 对比 release 判断版本号、补充每行代码上方中文块注释、调整注释空行规则，并保持 Java 文件 UTF-8 无 BOM 编码。典型触发场景包括：补充类注释、更新 @version、检查 @author 来源、整理行尾注释、把注释放到代码上一行、检查注释是否符合规范、构建前检查 Java 注释风格。
- 声明 boolean hasWhere = false;
- 每个条件前判断：if (!hasWhere) { sql.append(" WHERE "); hasWhere = true; } else { sql.append(" AND "); }
- 固定部分如 "SELECT * FROM table" 后不带空格，WHERE 前统一补" "
正确处理双引号标识符（如数字别名）
SQL 中用双引号括列别名（如 "1"、"order"）时，Java 字符串里必须转义，否则编译报错。
- 错写：sb.append(" AS "1" "); → 编译失败
- 正确：sb.append(" AS \"1\" "); → \" 表示字面量双引号
- 更推荐：尽量用合法无特殊字符的别名（如 col_1），避开引号需求
始终防范 SQL 注入，别拼值，只拼结构
StringBuilder 适合拼 SQL 骨架（字段、条件连接词、括号），但绝不拼用户输入的值。
- 值一律用 ? 占位符，交给 PreparedStatement 绑定
- 如果必须拼字符串值（极少数场景），先 escape（如单引号变两个）再拼，但不如参数化安全
- 字段名、表名等元数据若来自配置或白名单，可用枚举或 Map 映射，禁止直接受控于前端输入
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
