Java的String.format()仅支持位置占位符（如%s、%d）或索引格式（如%1$s），不支持SQL风格命名占位符（如:name）；可通过自定义Map替换工具模拟命名功能，但生产环境应优先使用PreparedStatement防注入。
Java 中的 String.format() 本身不支持 SQL 风格的命名占位符（如 :name 或 @id），它只支持基于位置的格式化（如 %s、%d）或带索引的位置标记（如 %1$s）。但你可以通过封装或借助第三方库，模拟出类似 SQL 占位符的可读性与灵活性。
用位置占位符 + 明确参数顺序实现基础动态组装
这是最直接的方式，适合简单、固定结构的 SQL 拼接（注意：仅用于日志、调试等非执行场景，切勿用于拼接真实 SQL 参数以避免注入风险）：
例如生成一条插入语句：
String sql = String.format(
"INSERT INTO users (name, age, email) VALUES ('%s', %d, '%s')",
"张三", 28, "zhangsan@example.com"
);⚠️ 注意：单引号需手动添加，且字符串值必须自行转义（如处理单引号、反斜杠），非常容易出错。不推荐用于生产环境的 SQL 构建。
立即学习“Java免费学习笔记（深入）”；
用带索引的格式化提升可维护性
当同一参数需多次使用，或参数顺序易混淆时，用 %1$s、%2$d 等显式索引可增强可读性：
例如生成带条件的查询语句：
当用户要求为 Java 代码添加注释、修改注释、审查注释、整理注释格式，或要求按照代码注释规范处理 Java 文件时，使用本技能。本技能用于统一生成和维护 Java 类注释模板、按 Git 对比 release 判断版本号、补充每行代码上方中文块注释、调整注释空行规则，并保持 Java 文件 UTF-8 无 BOM 编码。典型触发场景包括：补充类注释、更新 @version、检查 @author 来源、整理行尾注释、把注释放到代码上一行、检查注释是否符合规范、构建前检查 Java 注释风格。
String sql = String.format(
"SELECT * FROM orders WHERE status = '%1$s' AND user_id = %2$d ORDER BY %1$s DESC",
"shipped", 1001
);这里 %1$s 复用了第一个字符串参数，避免重复传参，也减少因顺序错位导致的类型异常（如把字符串传给 %d）。
自定义 Map 支持的命名占位符工具类（轻量方案）
若坚持使用 :name 这类命名占位符，可写一个极简替换工具（不依赖外部库）：
示例代码：
public static String formatSql(String template, Map<String, Object> params) {
String result = template;
for (Map.Entry<String, Object> entry : params.entrySet()) {
String key = ":" + entry.getKey();
String value = String.valueOf(entry.getValue());
// 简单转义：仅对单引号做处理（实际中建议用 PreparedStatement）
value = value.replace("'", "''");
result = result.replace(key, "'" + value + "'");
}
return result;
}使用方式：
Map<String, Object> params = Map.of("name", "李四", "age", 32);
String sql = formatSql("SELECT * FROM users WHERE name = :name AND age > :age", params);
// → "SELECT * FROM users WHERE name = '李四' AND age > '32'"✅ 优点：语义清晰、参数可乱序、易读易维护。
❌ 缺点：无类型区分（全当字符串处理）、无 SQL 注入防护、不处理 null 或特殊字符（如换行、百分号）。
更安全可靠的替代方案：优先使用 PreparedStatement
真正需要拼装可执行 SQL 时，永远优先选择 PreparedStatement：
- 自动处理类型转换与转义
- 彻底防止 SQL 注入
- 支持预编译，性能更好
例如：
String sql = "INSERT INTO users (name, age, email) VALUES (?, ?, ?)"; PreparedStatement ps = conn.prepareStatement(sql); ps.setString(1, "王五"); ps.setInt(2, 25); ps.setString(3, "wangwu@example.com"); ps.executeUpdate();
如需“命名参数”体验，可搭配 MyBatis（#{name}）或 JdbcTemplate（NamedParameterJdbcTemplate 支持 :name）等框架，它们底层仍转为 PreparedStatement，兼顾可读性与安全性。
