使用preparedStatement防止SQL注入

Question

我有一个这样的 SQL 查询：

StringBuilder sSelect = new StringBuilder("SELECT C ");
StringBuilder sFrom = new StringBuilder(" FROM CUSTOMER as C ");

if (phoneNumber != null)
{
  sFrom.append(" where C.number = ").append(phoneNumber);
}

我想要一个防止 SQL 注入的解决方案。像这样的东西很好用：

sWhere.append(" I.indicNom=").append(":sPhoneNumber").append(" ");
parameters.put("sPhoneNumber", phoneNumber);

我的目的是使用preparedStatement。是否可以逐步创建 SQL？

例如：

select * from tableX if(condition) {add where X=:Y } else {do nothing}

而不是

select * from tableX where X=?

Answer 1

先验没有发现和预防所有类型的 SQL 注入攻击的通用方法。