Java中用StringBuilder构建SQL时只拼接结构（如WHERE、AND）并使用?占位符，用户输入必须通过PreparedStatement参数绑定，严禁直接拼接值以防止SQL注入。
在 Java 中用 StringBuilder 构建 SQL 查询条件是常见做法，但需格外注意安全性、可读性和可维护性。核心原则是：**不直接拼接用户输入，优先使用预编译参数（PreparedStatement）；StringBuilder 仅用于动态拼接 SQL 结构（如 WHERE 子句的 AND/OR 逻辑、字段列表、ORDER BY 等），而非值本身。**
只拼结构，不拼值
用户输入（如搜索关键词、ID、日期范围）绝不能用 append() 直接加入 StringBuilder。否则极易引发 SQL 注入。
- ✅ 正确：用
StringBuilder拼出"WHERE status = ? AND create_time > ?"这类带占位符的结构 - ❌ 错误：拼出
"WHERE name = '" + userInput + "'"—— 危险！
动态添加 WHERE 条件的典型写法
用布尔标记控制是否已添加 WHERE，避免结尾多出 AND 或开头多出 AND：
StringBuilder sql = new StringBuilder("SELECT * FROM user");
boolean hasWhere = false;
<p>if (status != null) {
if (!hasWhere) {
sql.append(" WHERE");
hasWhere = true;
} else {
sql.append(" AND");
}
sql.append(" status = ?");
}</p><p>if (minAge != null) {
if (!hasWhere) {
sql.append(" WHERE");
hasWhere = true;
} else {
sql.append(" AND");
}
sql.append(" age >= ?");
}更简洁的方式是统一用 AND 开头，最后用 substring 去掉首个 " AND"（需确保至少有一个条件）：
立即学习“Java免费学习笔记（深入）”；
Alibabacloud Sdk Client Initialization For Java
下载
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
StringBuilder whereClause = new StringBuilder();
if (status != null) whereClause.append(" AND status = ?");
if (minAge != null) whereClause.append(" AND age >= ?");
if (whereClause.length() > 0) {
sql.append(" WHERE").append(whereClause.substring(4)); // 去掉开头的 " AND"
}配合 PreparedStatement 安全传参
StringBuilder 只管生成含 ? 的 SQL 字符串，参数由 PreparedStatement 统一设置：
String finalSql = sql.toString(); PreparedStatement ps = connection.prepareStatement(finalSql); int index = 1; if (status != null) ps.setString(index++, status); if (minAge != null) ps.setInt(index++, minAge); // 执行查询...
参数顺序必须严格对应 ? 在 SQL 中出现的顺序。
进阶：用 List 存参数，解耦 SQL 和参数
避免手动维护 index，把参数存进 List<Object>，最后遍历设置：
StringBuilder sql = new StringBuilder("SELECT * FROM user");
List<Object> params = new ArrayList<>();
<p>if (status != null) {
sql.append(" WHERE status = ?");
params.add(status);
}
if (minAge != null) {
if (sql.indexOf("WHERE") > 0) sql.append(" AND");
else sql.append(" WHERE");
sql.append(" age >= ?");
params.add(minAge);
}</p><p>PreparedStatement ps = conn.prepareStatement(sql.toString());
for (int i = 0; i < params.size(); i++) {
ps.setObject(i + 1, params.get(i));
}不复杂但容易忽略：拼 SQL 是为了灵活，但安全和清晰永远比“一行搞定”重要。用好 StringBuilder + ? + PreparedStatement 组合，既能动态又能防注入。
