Java中动态SQL的占位符?仅支持参数值绑定，不支持表名、列名等SQL结构动态化；结构部分须白名单校验后字符串拼接，参数部分必须用?加setXxx()绑定。
Java 中动态 SQL 不能直接用 PreparedStatement 拼接 SQL 字符串，因为 PreparedStatement 的占位符（?）只支持**参数值**的动态绑定，不支持表名、列名、WHERE 条件结构等**SQL 结构**的动态变化。强行拼接字符串会破坏预编译优势，还可能引发 SQL 注入。正确做法是：**结构部分用白名单校验 + 字符串拼接，参数部分严格用 ? 占位符 + setXxx() 绑定**。
哪些内容必须用 ? 占位符（安全且必须）
所有用户输入的**参数值**，例如查询条件的值、插入的字段值、更新的目标值等，都必须通过 ? 占位并用 PreparedStatement 的 setString()、setInt() 等方法设置：
-
✅ 正确：
WHERE status = ? AND create_time > ?→ 用ps.setString(1, "ACTIVE"); ps.setTimestamp(2, timestamp); -
❌ 错误：
"WHERE status = '" + userInputStatus + "'"→ 易注入，绕过预编译
哪些内容只能拼接（但必须严格校验）
表名、列名、排序字段、动态 AND/OR 条件块、ORDER BY 方向等属于 SQL 结构，无法用 ? 表示。处理原则是：白名单校验 + 预定义模板：
- 允许的表名列表：
Set.of("user", "order", "product")，用户传入"user"才拼成"SELECT * FROM user" - 排序字段限定：
Map.of("name", "user_name", "age", "user_age")，用户选"name"→ 拼成"ORDER BY user_name" - 动态条件组装：
if (status != null) sql.append(" AND status = ?"); params.add(status);，最后统一用?绑定参数
实用写法示例（带条件拼接 + 参数绑定）
以下是一个根据非空字段动态添加 WHERE 条件的典型场景：
String sql = "SELECT * FROM user WHERE 1=1";
List<object> params = new ArrayList();
<p>if (StringUtils.isNotBlank(name)) {
sql += " AND name LIKE ?";
params.add("%" + name + "%");
}
if (ageMin != null) {
sql += " AND age >= ?";
params.add(ageMin);
}
if (status != null) {
sql += " AND status = ?";
params.add(status);
}</p>
<p>try (Connection conn = dataSource.getConnection();
PreparedStatement ps = conn.prepareStatement(sql)) {</p>
<pre class="brush:php;toolbar:false;">for (int i = 0; i <p>}</p>
更安全的替代方案（推荐中大型项目）
手动拼接易出错，建议使用成熟框架封装动态 SQL：
-
MyBatis：用
<if></if>、<where></where>、<set></set>标签自动生成合法 SQL，底层仍用PreparedStatement绑定参数 - JOOQ：类型安全的 DSL，编译期检查表/字段名，生成的 SQL 自动使用预编译参数
- 自研工具类（如 Apache Commons DbUtils 的
QueryRunner）可简化参数绑定，但 SQL 拼接逻辑仍需自行防护
核心就一条：占位符只管“值”，不管“形”；结构变化靠代码逻辑控制，但必须守住白名单和转义底线。不复杂但容易忽略细节。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
