PreparedStatement的?占位符只能绑定值，不能绑定列名等SQL标识符，否则会语法错误；安全排序需三步：定义白名单字段与方向、校验用户输入、拼接已校验的字段和方向到SQL中。
Java 中用 PreparedStatement 实现安全的字段白名单排序，关键在于：**不能把排序字段名或方向作为参数绑定（因为 SQL 标识符不支持预编译参数）**，而必须在代码中严格校验并拼接到 SQL 字符串中——但仅限于预定义的、可信的白名单字段。
为什么不能直接用 ? 占位符做 ORDER BY
PreparedStatement 的 ? 只能替换**值（value）**，不能替换**标识符（如列名、表名、关键字）** 或 SQL 结构。如果强行写成：
SELECT * FROM user ORDER BY ? DESC
这会报错（如 MySQL 报 “You have an error in your SQL syntax”），因为数据库解析器期望这里是一个列名，而不是一个字符串值。
立即学习“Java免费学习笔记（深入）”；
安全实现白名单排序的三步法
✅ 步骤一：定义合法字段白名单（含允许的方向）
- 用
Set<String>或Enum明确列出所有可排序的字段名，例如：{"id", "name", "created_time", "status"} - 同时限制排序方向，只允许
"ASC"或"DESC"，不接受用户传入的任意字符串（如"ASC, DROP TABLE user"）
✅ 步骤二：服务端校验用户输入
- 获取前端传来的排序字段（如
sortField = "name"）和方向（如sortOrder = "desc"） - 检查
sortField是否在白名单中；将sortOrder统一转为大写，并只接受"ASC"或"DESC" - 校验失败则抛出
IllegalArgumentException或返回 400 错误，绝不继续执行
✅ 步骤三：拼接 SQL 字符串（非用户输入直接拼接，而是从白名单映射后拼）
- 确认校验通过后，用字符串格式化方式安全拼入 SQL，例如：
String sql = "SELECT * FROM user WHERE status = ? ORDER BY " + sortField + " " + sortOrder;
- 再用该 SQL 创建
PreparedStatement，对 WHERE 条件中的值（如 status）使用?绑定 - 这样既防止了 SQL 注入，又保留了排序灵活性
推荐写法示例（含校验逻辑）
```java
private static final Set<String> SORTABLE_FIELDS = Set.of("id", "name", "created_time", "status");
private static final Set<String> SORT_DIRECTIONS = Set.of("ASC", "DESC");
public List<User> findUsers(String sortField, String sortOrder, String status) {
// 校验字段
if (!SORTABLE_FIELDS.contains(sortField)) {
throw new IllegalArgumentException("Invalid sort field: " + sortField);
}
// 校验方向
String safeOrder = sortOrder == null ? "ASC" : sortOrder.toUpperCase();
if (!SORT_DIRECTIONS.contains(safeOrder)) {
throw new IllegalArgumentException("Invalid sort order: " + sortOrder);
}
String sql = "SELECT * FROM user WHERE status = ? ORDER BY " + sortField + " " + safeOrder;
try (PreparedStatement ps = connection.prepareStatement(sql)) {
ps.setString(1, status); // ✅ 安全绑定值
// 执行查询...
}
}
```
进阶建议：避免重复拼接，提升可维护性
可以封装一个 SortClause 工具类或使用枚举明确每个可排序字段的别名、类型和默认方向；若项目用 MyBatis，可用 <bind> + OGNL 表达式配合白名单校验，底层仍走同样逻辑。
核心原则不变：**字段和方向必须来自代码内控的白名单，而非原始用户输入。**
