java当中mysql当中拼接三个字符串

在Java中，拼接MySQL查询语句时，特别是在字符串连接涉及到SQL动态内容的情况下，通常会使用`PreparedStatement`或者`String.format()`方法，避免SQL注入风险。以下是使用`+`运算符手动拼接的例子，但这并不是推荐的做法，因为它不够安全：

String str1 = "SELECT * FROM table_";
String str2 = " WHERE column1 = ?";
String str3 = " AND column2 = ?";

// 如果直接拼接可能会有SQL注入的风险
String query = str1 + str2 + str3;
query = query.replace("?", "%s"); // 替换占位符

Object[] params = {value1, value2}; // 要插入的实际值
// 创建Statement并执行

然而，更安全的方式是使用`PreparedStatement`：

String sql = "SELECT * FROM table_ WHERE column1 = ? AND column2 = ?";
PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setString(1, value1);
pstmt.setString(2, value2);
ResultSet rs = pstmt.executeQuery();

这样可以防止恶意输入导致的SQL注入。