JDBC 分頁查詢陷阱：ORDER BY 參數綁定失效的原因與解決方案

問題現象

// 失效寫法
String sql = "SELECT * FROM goods ORDER BY ? LIMIT ?, ?";
PreparedStatement ps = conn.prepareStatement(sql);
ps.setString(1, "price");      // 排序字段
ps.setInt(2, 0);               // offset
ps.setInt(3, 20);              // pageSize
ResultSet rs = ps.executeQuery();
// 結果：始終按默認順序（通常是主鍵）排序，忽略 ORDER BY 參數

根本原因

JDBC PreparedStatement 參數綁定（? 佔位符）僅適用於數據值（DML 值），不適用於 SQL 結構元素：

• ✅ 列值：WHERE price > ?
• ✅ 插入值：INSERT INTO t (c) VALUES (?)
• ❌ 表名：SELECT * FROM ?
• ❌ 列名：SELECT ? FROM t
• ❌ 排序字段：ORDER BY ?
• ❌ 排序方向：ORDER BY price ?
• ❌ LIMIT 參數：MySQL 5.0.7+ 支持，但部分驅動/數據庫不支持

驅動將 ORDER BY ? 處理為 ORDER BY 'price'（字符串字面量），而非 ORDER BY price（標識符），導致排序無效。

解決方案對比

方案一：字符串拼接（最常用，需防注入）

public List queryGoods(String orderBy, int offset, int limit) {
    // 1. 白名單驗證（核心防注入）
    Set allowedColumns = Set.of("price", "create_time", "sales", "name");
    String safeOrderBy = allowedColumns.contains(orderBy) ? orderBy : "id";
    
    // 2. 方向驗證
    String direction = "ASC".equalsIgnoreCase(direction) ? "ASC" : "DESC";
    
    // 3. 拼接 SQL（結構部分）
    String sql = "SELECT * FROM goods ORDER BY " + safeOrderBy + " " + direction + " LIMIT ?, ?";
    
    // 4. 參數綁定（數據部分）
    try (PreparedStatement ps = conn.prepareStatement(sql)) {
        ps.setInt(1, offset);
        ps.setInt(2, limit);
        return executeQuery(ps);
    }
}

方案二：動態構建 PreparedStatement（複雜場景）

public List queryDynamic(Map params) {
    StringBuilder sql = new StringBuilder("SELECT * FROM goods WHERE 1=1");
    List