通过string执行sql的java写法

在Java中，直接使用字符串拼接的方式执行SQL可能会存在SQL注入风险，推荐使用PreparedStatement或者JDBC API提供的Statement来执行预编译的SQL。这里是一个基本的例子，展示如何通过字符串动态执行SQL查询：

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.Statement;

public class StringSqlExecutionExample {
    
    private static final String URL = "jdbc:mysql://localhost:3306/mydatabase";
    private static final String USER = "username";
    private static final String PASSWORD = "password";

    public static void main(String[] args) {
        String sql = "SELECT * FROM users WHERE name = ?";
        
        try {
            // 获取数据库连接
            Connection connection = DriverManager.getConnection(URL, USER, PASSWORD);
            
            // 使用PreparedStatement，将SQL字符串中的占位符转为实际参数
            PreparedStatement preparedStatement = connection.prepareStatement(sql);
            preparedStatement.setString(1, "John Doe"); // 参数绑定
            
            // 执行SQL
            ResultSet resultSet = preparedStatement.executeQuery();

            // 处理结果集
            while (resultSet.next()) {
                System.out.println("Name: " + resultSet.getString("name"));
                // ...其他列的读取
            }

            // 关闭资源
            resultSet.close();
            preparedStatement.close();
            connection.close();
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

在这个例子中，我们使用了PreparedStatement来避免SQL注入，并且正确地处理了ResultSet。记得在实际生产环境中，还需要考虑异常处理、事务管理等问题。