PreparedStatement统一使用?占位符，具体行为由数据库驱动决定；跨库需严格遵循?语法、顺序绑定参数，并注意驱动对类型和NULL的处理差异。
Java 的 PreparedStatement 本身不处理占位符差异，它只定义统一的 ? 占位符语法；真正决定占位符行为的是底层数据库驱动（JDBC Driver）和 SQL 方言。你不需要在 PreparedStatement 层做适配，但需要在 SQL 编写、参数绑定和驱动选择阶段主动应对差异。
不同数据库对占位符的实际要求
标准 JDBC 规范强制要求驱动支持 ? 作为参数占位符，绝大多数主流驱动（MySQL、PostgreSQL、Oracle、SQL Server、H2 等）都严格遵循这一点。但以下情况容易引发混淆：
-
Oracle 的命名绑定（如
:name）不是 JDBC 标准：Oracle JDBC 驱动虽支持execute(String sql, Object... params)形式的命名参数（需配合OraclePreparedStatement或第三方封装），但原生PreparedStatement接口仍只认?。用:name直接传给connection.prepareStatement()会抛异常。 -
PostgreSQL 的
$1,$2是服务端位置标记，不用于客户端预编译：JDBC 驱动会自动将?映射为$1等，你无需、也不应手动写$1。 -
SQL Server 的
@param是 T-SQL 变量，不能用于 PreparedStatement 参数绑定：必须用?，否则驱动无法识别为参数。
如何安全地跨数据库编写 PreparedStatement 代码
核心原则是：**只用 ?，不拼接 SQL，不依赖数据库特有语法做参数占位**。具体做法：
- 所有 SQL 字符串硬编码使用
?，例如："SELECT * FROM users WHERE status = ? AND created_at > ?" - 按顺序调用
setXxx(index, value)，索引从 1 开始，与?出现顺序严格对应 - 避免在 SQL 中混用
?和数据库专有符号（如:id、@name、$1） - 若需动态列名或表名（这些不能参数化），必须通过白名单校验 + 字符串拼接，且绝不能由用户输入直接拼入
驱动层面的注意事项
虽然占位符统一为 ?，但不同驱动对参数类型推断、NULL 处理、日期/时间格式等有细微差别：
立即学习“Java免费学习笔记（深入）”；
- Oracle 驱动对
setObject(1, null)默认设为Types.OTHER，可能报错；建议显式用setNull(1, Types.VARCHAR) - PostgreSQL 驱动对
java.time.*类型支持较好（42.2+），旧版 MySQL 驱动（5.x）需用java.sql.Timestamp或配置useSSL=false&serverTimezone=UTC - 使用 HikariCP 或其他连接池时，确保驱动 JAR 版本与数据库版本兼容（如 PostgreSQL 15 推荐用 42.6+）
工具层辅助（可选但推荐）
如果你需要更高抽象或动态 SQL，可借助成熟库屏蔽底层差异：
-
MyBatis：XML 或注解中统一用
#{param}，生成的 PreparedStatement 仍是标准?，由框架完成类型映射和驱动适配 - JOOQ：DSL 构建类型安全 SQL，最终也转为标准 PreparedStatement 调用
-
Spring JDBC 的 JdbcTemplate：提供
query(String sql, RowMapper, Object... args)，内部统一处理?绑定，兼容所有 JDBC 驱动
