JavaEE 學習筆記：PreparedStatement 防 SQL 注入原理與參數綁定實戰

PreparedStatement 是 JDBC 防禦 SQL 注入的核心利器，通過預編譯 + 參數綁定徹底隔離代碼與數據。本文從注入漏洞演示、PreparedStatement 核心機制、參數設置方法、實戰代碼模板、常見誤區五個維度，幫你徹底掌握安全數據庫操作。

SQL 注入漏洞復現

場景：用戶登錄，拼接 SQL 字符串。

// 危險代碼
String sql = "SELECT * FROM `master` WHERE `name`='" + name + "' AND `password`='" + password + "'";
Statement stmt = conn.createStatement();
ResultSet rs = stmt.executeQuery(sql);

攻擊輸入：

• 用戶名：liubei
• 密碼：123' OR '1'='1

實際執行 SQL：

SELECT * FROM `master` WHERE `name`='liubei' AND `password`='123' OR '1'='1'

'1'='1' 恆真，繞過密碼驗證，登錄成功！

PreparedStatement 核心防禦機制

1. 預編譯：SQL 模板發送給數據庫，數據庫解析、編譯、優化生成執行計劃，結構已固定。
2. 參數佔位符：? 標記參數位置，非 SQL 語法一部分。
3. 參數綁定：setXxx(index, value) 將值安全傳遞給數據庫，數據庫按值處理，不再解析為 SQL 片段。
4. 類型安全：setInt、setString、setTimestamp 等強類型方法，自動處理轉義、格式化。

標準使用模板

String sql = "UPDATE pet SET health=?, love=? WHERE id=?"; // 參數用 ?
Connection conn = null;
PreparedStatement pstmt = null;
try {
    conn = DriverManager.getConnection(url, user, pass);
    pstmt = conn.prepareStatement(sql); // 預編譯
    
    pstmt.setInt(1, 1234);   // 第 1 個 ? → health
    pstmt.setInt(2, 88);     // 第 2 個 ? → love
    pstmt.setInt(3, 2);      // 第 3 個 ? → id
    
    int rows = pstmt.executeUpdate(); // DML 返回影響行數
    System.out.println("更新行數: " + rows);
} catch (SQLException e) {
    e.printStackTrace();
} finally {
    // 逆序關閉
    if (pstmt != null) try { pstmt.close(); } catch (SQLException ignore) {}
    if (conn != null) try { conn.close(); } catch (SQLException ignore) {}
}

參數設置方法速查

進階：批量操作與生成鍵

批量插入/更新

conn.setAutoCommit(false);
String sql = "INSERT INTO orders(user_id, amount) VALUES(?, ?)";
try (PreparedStatement ps = conn.prepareStatement(sql)) {
    for (Order o : orders) {
        ps.setLong(1, o.getUserId());
        ps.setBigDecimal(2, o.getAmount());
        ps.addBatch();
    }
    int[] counts = ps.executeBatch(); // 返回每條影響行數
    conn.commit();
}

獲取自增主鍵

String sql = "INSERT INTO users(name) VALUES(?)";
try (PreparedStatement ps = conn.prepareStatement(sql, Statement.RETURN_GENERATED_KEYS)) {
    ps.setString(1, "Alice");
    ps.executeUpdate();
    try (ResultSet rs = ps.getGeneratedKeys()) {
        if (rs.next()) {
            long id = rs.getLong(1);
            System.out.println("生成主鍵: " + id);
        }
    }
}

常見誤區與避坑

SQL 拼接空格陷阱（實戰血淚）

// 錯誤：拼接處缺少空格
String sql = "SELECT * FROM a WHERE x=? AND" + "y=?"; 
// 實際 SQL：... WHERE x=? ANDy=? → 語法錯誤

// 正確：保留空格
String sql = "SELECT * FROM a WHERE x=? AND " + "y=?"; 
// 或用 StringBuilder 可讀性更好
String sql = new StringBuilder()
    .append("SELECT * FROM a WHERE x=? ")
    .append("AND y=? ")
    .toString();

總結

PreparedStatement 通過預編譯固定 SQL 結構 + 類型安全參數綁定，從根源上杜絕 SQL 注入。掌握標準模板、參數設置方法、批量操作、生成鍵獲取，並養成佔位符思維、空格意識、資源自動關閉習慣，是每個 Java 開發者的基本功。現代項目建議使用 MyBatis/JPA 等 ORM 框架，其底層同樣基於 PreparedStatement，並提供更高級的動態 SQL、映射、緩存能力。

1. 上一篇文章： Java ZXing 生成二維碼與條碼完整實戰：核心工具類、Logo 嵌入、Servlet 輸出
2. 下一篇文章： Java 拼接 SQL 的隱形殺手：一個空格引發的 ORA-00933 血案

Java 相關知識

Java IO 流體系全景解析：字節流、字符流、緩衝流與掃描器實戰

流的分類體系 維度分類基類/接口典型實現處理單位

Java Swing 多線程實戰：賽馬示範程式完整教學

專案截圖 執行畫面 原始碼來源 原文連結：https

Java 套接字程式設計（上）：TCP 流套接字基礎

用 Java 開發網路軟體非常方便強大，Java 此力量源於

Spring.NET（一）：框架架構與模組詳細說明

Spring.NET 簡介 Spring Framework