在Java中编写带占位符的SQL（字符串%s，数字%d）

最新推荐文章于 2025-10-29 16:49:00 发布

原创最新推荐文章于 2025-10-29 16:49:00 发布 · 2.1k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#java #sql

java 同时被 2 个专栏收录

40 篇文章

订阅专栏

sql

6 篇文章

订阅专栏

本文探讨了在Java中如何有效防止SQL注入攻击，通过实例演示了使用字符串格式化方法的利弊，并推荐使用MyBatis框架及foreach动态拼接来增强安全性。

@Override
    public User findUserByNameAndAddress(String username, String password) {
        // String condition = "username = {0} and password = {1}";//错误
        String condition = "username = '%s' and password = '%s'";//正确
        condition = String.format(condition, username, password);
        return userDao.findUserByNameAndAddress(condition);
    }

在Java中编写带占位符的SQL（字符串%s，数字%d）可防止sql注入风险。但是总是感觉不够完美，还是尽量不要用。因为最终还是变成字符串替换拼接，容易出现Bug。sql注入的风险。

最好还是mybatis框架中使用，动态拼接foreach遍历。

参考

https://blog.youkuaiyun.com/weixin_30902675/article/details/96798282?utm_medium=distribute.pc_relevant.none-task-blog-baidujs-3