PostgreSQL 的 SET 命令是静态配置语句，不支持 JDBC PreparedStatement 的参数占位符（如 :variable 或 ?），强行使用会导致 syntax error at or near "$1" 错误；必须改用字符串拼接或会话级动态 SQL 执行方式。
postgresql 的 `set` 命令是静态配置语句，**不支持 jdbc preparedstatement 的参数占位符（如 `:variable` 或 `?`）**，强行使用会导致 `syntax error at or near "$1"` 错误；必须改用字符串拼接或会话级动态 sql 执行方式。
在 PostgreSQL 中，SET 语句（例如 SET app.variable = 'value'）属于会话配置命令（Session Setting Command），其语法在 PostgreSQL 协议层面被设计为纯文本解析，不参与 JDBC 的预编译流程。这意味着：
- 它无法接受 ?、:name 等 JDBC 绑定参数；
- 驱动（如 pgjdbc）在尝试将参数映射为 $1 占位符时，会将其错误地插入到 SET 语句中，导致 PostgreSQL 解析器在非预期位置（如 = $1）报错 —— 这正是 ERROR: syntax error at or near "$1" 的根本原因；
- 此行为并非 JDBC Bug 或 PostgreSQL Bug，而是二者协议与语义的明确约定：只有 DML/SELECT 类语句（SELECT, INSERT, UPDATE, DELETE, VALUES, MERGE）才支持参数化执行。
✅ 正确做法：使用 Connection#setClientInfo()（推荐）或 安全的字符串拼接 + 显式转义
方案一：优先使用标准 JDBC 接口（推荐）
若设置的是标准客户端属性（如 ApplicationName），应调用：
Connection conn = sessionFactory.getCurrentSession().connection();
conn.setClientInfo("ApplicationName", "my-app");方案二：自定义变量需动态拼接（务必校验输入）
对于 app.variable 等自定义 GUC（Grand Unified Configuration）变量，必须手动拼接 SQL，并严格过滤非法字符：
String variableValue = "variableValue";
// 仅允许字母、数字、下划线、点号（符合 PostgreSQL 标识符 + 字面值规范）
if (!variableValue.matches("[a-zA-Z0-9_.]+")) {
throw new IllegalArgumentException("Invalid variable value: contains unsafe characters");
}
String sql = "SET app.variable = '" + variableValue + "'";
sessionFactory.getCurrentSession()
.createNativeQuery(sql)
.executeUpdate();⚠️ 注意事项：
- 禁止直接拼接用户输入：未校验的拼接将导致 SQL 注入（例如传入 value'; DROP TABLE users; --）；
- 避免使用 @Modifying + @Query（Spring Data JPA）：JPA 对 SET 的支持同样受限，且无法绕过 JDBC 层限制；
- 事务上下文无关：SET 作用于当前会话，无需显式事务控制，但需确保在目标连接上执行；
- 替代方案考虑：若需频繁传递上下文信息，建议改用 current_setting('app.variable') 在 SQL 函数中读取，或通过应用层 Context/ThreadLocal 管理。
总结：SET 不是可参数化的 SQL 操作，这是 PostgreSQL 协议的设计约束。开发者应主动适配——对标准属性用 setClientInfo()，对自定义变量则采用白名单校验 + 安全拼接，并始终以防御性编程原则规避注入风险。
