如何用Java校验SQL语句的合法性？有这5种解决方案

方案一：使用JDBC api中提供的Statement接口的execute()方法

要在Java中校验sql语句的合法性，可以使用JDBC API中提供的Statement接口的execute()方法。这个方法会尝试执行给定的SQL语句，如果SQL语句不合法，则会抛出一个SQLException异常。因此，我们可以利用这个异常来判断SQL语句的合法性。

以下是一个简单的示例代码：

import java.sql.*; public class SQLValidator {     public static boolean validateSQL(String sql) {        try {            Connection conn = DriverManager.getConnection("jdbc:Mysql://localhost:3306/mydatabase", "username", "passWord");            Statement stmt = conn.createStatement();            stmt.execute(sql);            return true;        } catch (SQLException e) {            return false;        }    }     public static void main(String[] args) {        String sql1 = "SELECT * FROM mytable WHERE id = 1";        String sql2 = "SELECT * FROM mytable WHERE id = '1'";        String sql3 = "SELECT * FROM mytable WHERE id = ;DROP TABLE mytable;";         System.out.println(validateSQL(sql1)); // true        System.out.println(validateSQL(sql2)); // false        System.out.println(validateSQL(sql3)); // false    }} 

在这个示例代码中，validateSQL()方法接受一个SQL语句作为参数，然后尝试执行这个SQL语句。如果执行成功，返回true，否则返回false。在main()方法中，我们调用了validateSQL()方法来校验三个SQL语句的合法性，并打印了结果。

需要注意的是，这个方法只能判断SQL语句的语法是否合法，而无法判断SQL语句的语义是否合法。因此，如果应用程序允许用户输入SQL语句，一定要进行严格的输入校验和过滤，避免SQL注入攻击。

方案二：使用jsqlParser这个Java库

如果你不希望实际执行SQL语句，而只是想校验SQL语句的合法性，可以使用JSqlParser这个Java库。这个库可以将SQL语句解析成Java对象，然后你可以对这些Java对象进行检查，以判断SQL语句是否合法。

以下是一个简单的示例代码：

import net.sf.jsqlparser.JSQLParserException;import net.sf.jsqlparser.parser.CCJSqlParserUtil;import net.sf.jsqlparser.statement.Statement; public class SQLValidator {     public static boolean validateSQL(String sql) {        try {            Statement stmt = CCJSqlParserUtil.parse(sql);            return true;        } catch (JSQLParserException e) {            return false;        }    }     public static void main(String[] args) {        String sql1 = "SELECT * FROM mytable WHERE id = 1";        String sql2 = "SELECT * FROM mytable WHERE id = '1'";        String sql3 = "SELECT * FROM mytable WHERE id = ;DROP TABLE mytable;";         System.out.println(validateSQL(sql1)); // true        System.out.println(validateSQL(sql2)); // true        System.out.println(validateSQL(sql3)); // false    }}

在这个示例代码中，validateSQL()方法使用JSqlParser库将SQL语句解析成Java对象。如果解析成功，返回true，否则返回false。在main()方法中，我们调用了validateSQL()方法来校验三个SQL语句的合法性，并打印了结果。

需要注意的是，JSqlParser库只能检查SQL语句的语法是否合法，而无法检查SQL语句的语义是否合法。因此，同样需要进行严格的输入校验和过滤，避免SQL注入攻击。

方案三：使用正则表达式检查SQL语句的格式是否正确

使用正则表达式检查SQL语句的格式是否正确。例如，可以检查SQL语句是否以SELECT、UPDATE、DELETE、INSERT等关键字开头，是否包含必需的关键字和语法元素等。

import java.util.regex.Pattern; public class SQLValidator {    private static final String SELECT_PATTERN = "^\\s*SELECT.*";    private static final String UPDATE_PATTERN = "^\\s*UPDATE.*";    private static final String DELETE_PATTERN = "^\\s*DELETE.*";    private static final String INSERT_PATTERN = "^\\s*INSERT.*";     public static boolean validateSQL(String sql) {        if (Pattern.matches(SELECT_PATTERN, sql)) {            // 校验SELECT语句的合法性            return true;        } else if (Pattern.matches(UPDATE_PATTERN, sql)) {            // 校验UPDATE语句的合法性            return true;        } else if (Pattern.matches(DELETE_PATTERN, sql)) {            // 校验DELETE语句的合法性            return true;        } else if (Pattern.matches(INSERT_PATTERN, sql)) {            // 校验INSERT语句的合法性            return true;        } else {            // SQL语句格式不正确            return false;        }    }     public static void main(String[] args) {        String sql1 = "SELECT * FROM mytable WHERE id = 1";        String sql2 = "SELECT * FROM mytable WHERE id = '1'";        String sql3 = "SELECT * FROM mytable WHERE id = ;DROP TABLE mytable;";         System.out.println(validateSQL(sql1)); // true        System.out.println(validateSQL(sql2)); // true        System.out.println(validateSQL(sql3)); // false    }}

方案四：使用ANTLR等工具生成SQL语法解析器，然后使用生成的解析器解析SQL语句，以判断SQL语句的合法性

ANTLR是一种流行的解析器生成器，可以根据定义的语法规则生成解析器。

以下是一个简单的示例代码：

import org.antlr.v4.runtime.*;import org.antlr.v4.runtime.tree.*; public class SQLValidator {    public static boolean validateSQL(String sql) {        try {            CharStream input = CharStreams.fromString(sql);            SQLLexer lexer = new SQLLexer(input);            CommonTokenStream tokens = new CommonTokenStream(lexer);            SQLParser parser = new SQLParser(tokens);            ParseTree tree = parser.statement();            return true;        } catch (Exception e) {            return false;        }    }     public static void main(String[] args) {        String sql1 = "SELECT * FROM mytable WHERE id = 1";        String sql2 = "SELECT * FROM mytable WHERE id = '1'";        String sql3 = "SELECT * FROM mytable WHERE id = ;DROP TABLE mytable;";         System.out.println(validateSQL(sql1)); // true        System.out.println(validateSQL(sql2)); // true        System.out.println(validateSQL(sql3)); // false    }}

在这个示例代码中，我们使用ANTLR生成了一个SQL语法解析器，并在validateSQL()方法中使用这个解析器来解析SQL语句。如果解析成功，则说明SQL语句格式正确，返回true，否则返回false。

方案五：使用Apache Calcite等SQL解析器库来解析SQL语句

Apache Calcite是一个强大的SQL解析器和优化器，它支持大多数SQL语法，并能够将SQL语句解析为抽象语法树（AST）。

以下是一个简单的示例代码：

import org.apache.calcite.sql.Sqlnode;import org.apache.calcite.sql.parser.SqlParseException;import org.apache.calcite.sql.parser.SqlParser;import org.apache.calcite.sql.parser.SqlParser.Config;import org.apache.calcite.sql.parser.SqlParserImplFactory; public class SQLValidator {    public static boolean validateSQL(String sql) {        try {            Config config = SqlParser.config();            SqlParserImplFactory factory = config.parserFactory();            SqlParser parser = SqlParser.create(sql, config.withParserFactory(factory));            SqlNode node = parser.parseStmt();            return true;        } catch (SqlParseException e) {            return false;        }    }     public static void main(String[] args) {        String sql1 = "SELECT * FROM mytable WHERE id = 1";        String sql2 = "SELECT * FROM mytable WHERE id = '1'";        String sql3 = "SELECT * FROM mytable WHERE id = ;DROP TABLE mytable;";         System.out.println(validateSQL(sql1)); // true        System.out.println(validateSQL(sql2)); // true        System.out.println(validateSQL(sql3)); // false    }}

在这个示例代码中，我们使用Apache Calcite库来解析SQL语句。validateSQL()方法首先创建一个SqlParser对象，并使用它来解析传入的SQL语句。如果解析成功，则返回true，否则返回false。

相关内容拓展：（技术前沿）

近10年间，甚至连传统企业都开始大面积数字化时，我们发现开发内部工具的过程中，大量的页面、场景、组件等在不断重复，这种重复造轮子的工作，浪费工程师的大量时间。

针对这类问题，低代码把某些重复出现的场景、流程，具象化成一个个组件、api、数据库接口，避免了重复造轮子。极大的提高了程序员的生产效率。

介绍一款程序员都应该知道的软件JNPF快速开发平台，基于Java/.net双技术引擎，专注于低代码，采用业内领先的SpringBoot微服务架构、支持SpringCloud模式，完善了平台的扩增基础，满足了系统快速开发、灵活拓展、无缝集成和高性能应用等综合能力；免费体验官网：https://www.jnpfsoft.com/?csdn采用前后端分离模式，前端和后端的开发人员可分工合作负责不同板块，省事又便捷。

总结

总的来说，使用JDBC API和JSqlParser库、正则表达式、ANTLR解析器生成器或Apache Calcite库都可以实现校验SQL语句的合法性。具体使用哪种方法取决于你的需求和个人喜好。

来源地址：https://blog.csdn.net/pantouyuchiyu/article/details/131529741