java中preparedstatement实现安全模糊查询的核心是将通配符写在参数值中而非sql模板里，如setstring(1, "%" + keyword + "%")；错误做法包括字符串拼接或在sql中写'%?%'；特殊字符需转义并配合escape使用。

Java 中 PreparedStatement 实现安全的模糊查询，核心在于不拼接 SQL 字符串，而是用参数占位符（?）配合 setString() 方法传入带通配符的值。通配符（如 %、_）必须写在 Java 字符串里，不能写在 SQL 模板中。

正确写法：通配符放在参数值中

✅ 安全、推荐的方式：

• SQL 模板写成：SELECT * FROM user WHERE name LIKE ?
• Java 中构造参数：stmt.setString(1, "%" + keyword + "%");
• 这样既防止 SQL 注入，又支持前后模糊匹配

常见错误写法及风险

❌ 危险示例（绝对避免）：

Alibabacloud Sdk Client Initialization For Java

在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。

下载

• "SELECT * FROM user WHERE name LIKE '%" + keyword + "%'" —— 直接字符串拼接，keyword 若为 admin' OR '1'='1 就会引发注入
• stmt.setString(1, keyword); 配合 SQL 写成 LIKE '%?%' —— PreparedStatement 不识别 ?% 中的问号，会报错或查不到结果

处理特殊字符（如 %、_、）

如果用户输入本身就含通配符（比如查名字叫 “100% Pure” 的商品），需转义并指定 escape 字符：

• SQL 改为：WHERE name LIKE ? ESCAPE ''
• Java 中预处理：String escaped = keyword.replace("\", "\\").replace("%", "\%").replace("_", "\_");
• 再设置：stmt.setString(1, "%" + escaped + "%");

其他实用技巧

可根据需求灵活组合通配符：

• 前缀匹配：stmt.setString(1, keyword + "%"); → LIKE ?（SQL 中）
• 后缀匹配：stmt.setString(1, "%" + keyword);
• 精确匹配单字符位置：stmt.setString(1, "a_" + keyword);（注意下划线是单字符通配）

Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南