java中preparedstatement无法直接打印带参数值的sql，因其设计为预编译+参数绑定；tostring()和getsql()均不返回含实际参数的sql，需手动替换或使用p6spy等代理工具。

Java 中 PreparedStatement 本身不提供直接打印“带真实参数值的 SQL”的方法，因为它的设计目标是预编译 + 参数绑定，SQL 字符串在数据库端并不拼接参数。但开发调试时，我们常需要看到“看起来像执行了的 SQL”，即把问号（?）替换成实际传入的参数值（注意：仅用于日志或调试，**绝不能用于拼接真实 SQL 执行**）。

为什么不能直接用 toString() 或 getSQL()？

PreparedStatement.toString() 通常只返回类名+哈希码，不是可读 SQL；getSQL() 方法（部分驱动支持）返回的是原始带 ? 的模板 SQL，不含参数值。所以必须手动替换。

安全、简单的手动拼接方式（推荐用于调试）

核心思路：获取原始 SQL（用 preparedStatement.toString() 不行，得从创建时保存或用反射/代理获取），再按 setXxx() 的调用顺序，逐个替换对应位置的 ?。最实用的做法是：在 set 参数时同步记录参数值，最后统一替换。

Alibabacloud Sdk Client Initialization For Java

在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。

下载

• 自己封装一个轻量工具方法，接收原始 SQL 和参数列表（如 List<object></object>），遍历并替换每个 ?
• 字符串替换要小心：只替换独立的 ?（避免误替换注释或字符串字面量里的 ?），但调试场景下通常忽略复杂语法，只做简单位置替换即可
• 对 null 值建议显示为 NULL；字符串加单引号；数字、布尔值直接转字符串；日期建议用 yyyy-MM-dd HH:mm:ss 格式

借助日志框架或 JDBC 代理（生产级推荐）

真正可靠的方案不是手写替换，而是用专业工具：

• P6Spy：开源 JDBC 代理，自动拦截所有 SQL 和参数，输出完整可执行语句（含格式化），配置简单，支持 Spring Boot
• log4jdbc-log4j2：类似 P6Spy，适配 Log4j2，能打印带参数的 SQL 及执行耗时
• MyBatis / JPA 等 ORM 框架自带日志：开启 logging.level.xxx.mapper=DEBUG 即可看到绑定后的 SQL（MyBatis 默认就支持）

注意事项与避坑

以下行为必须避免：

• 不要用字符串拼接生成真实 SQL 并执行（严重 SQL 注入风险）
• 不要在生产环境开启全 SQL 日志（尤其含敏感字段时），需脱敏或仅限 DEBUG 级别
• 注意时区、字符集、LOB 类型（如 BLOB/CLOB）在日志中可能无法直观显示，需特殊处理
• 批量操作（addBatch()）中每个语句参数不同，需分别打印

不复杂但容易忽略：调试时优先用 P6Spy 这类成熟方案，比手写替换更准、更省心、更安全。

Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南