java中执行ddl必须用statement.execute()，不可用preparedstatement参数化表名或列名；需校验标识符防注入，注意各数据库ddl隐式提交特性。
Java 中用 JDBC 执行 DDL（如 CREATE TABLE）和执行 DML（如 INSERT）一样，直接使用 Statement 或 PreparedStatement 的 execute() 方法即可——但要注意：DDL 不能用 PreparedStatement 参数化建表名或字段名，因为这些属于 SQL 结构，不是数据值。
用 Statement 执行 CREATE TABLE
这是最常用、最直接的方式。需确保连接未自动提交（或手动控制事务），并正确拼接 SQL 字符串。
- 获取
Connection后调用connection.createStatement() - 调用
stmt.execute("CREATE TABLE ...")—— 返回boolean，DDL 始终返回false（表示没返回结果集） - 建议显式关闭
Statement和Connection（推荐 try-with-resources）
示例：
String sql = "CREATE TABLE users (" +
"id BIGINT PRIMARY KEY AUTO_INCREMENT, " +
"name VARCHAR(50) NOT NULL, " +
"email VARCHAR(100) UNIQUE)";
try (Connection conn = DriverManager.getConnection(url, user, pwd);
Statement stmt = conn.createStatement()) {
stmt.execute(sql); // 成功则无异常，失败抛 SQLException
}
动态拼接表名和字段需手动校验
因为不能用 ? 占位符替代表名或列名，所以必须在 Java 层做安全处理，防止 SQL 注入：
- 只允许字母、数字、下划线，且不能以数字开头（符合 MySQL/PostgreSQL 标识符规则）
- 用正则校验：例如
name.matches("[a-zA-Z_][a-zA-Z0-9_]*") - 避免直接拼接用户输入；若来自前端或配置，务必清洗后再参与 SQL 构建
错误示范（危险）：
String tableName = request.getParameter("table"); // ❌ 不校验就拼接String sql = "CREATE TABLE " + tableName + " (...)"
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
正确做法：
if (!tableName.matches("[a-zA-Z_][a-zA-Z0-9_]*")) { throw new IllegalArgumentException("非法表名");}String sql = "CREATE TABLE " + tableName + " (...)"
注意数据库特性和事务行为
不同数据库对 DDL 的事务支持不同：
- MySQL（InnoDB）：DDL 是隐式提交的，执行
CREATE TABLE会自动提交当前事务，无法回滚 - PostgreSQL：DDL 在事务中可回滚（只要不在事务块外执行）
- Oracle：DDL 也会隐式提交
因此，如果想在建表失败时整体回滚其他操作，需提前了解目标数据库行为，必要时拆分逻辑或改用数据库迁移工具（如 Flyway / Liquibase）。
不推荐用 PreparedStatement 执行 DDL
PreparedStatement 的 ? 占位符仅用于**参数值**（如 WHERE name = ?），不能用于表名、列名、数据类型或 SQL 关键字。以下写法会报错：
ps = conn.prepareStatement("CREATE TABLE ? (...)"); // ❌ 运行时报 SQL 语法错误ps.setString(1, "users");
原因：JDBC 驱动不会把 ? 替换为标识符，而是当作字符串字面量加引号，生成类似 CREATE TABLE 'users' (...) 的非法语句。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
