sql 用StringBuilder拼接
 有一张表user,字段 id,name，需要搜索功能

 StringBuilder sb=new StringBuilder();

  if(id!=null){
sb.append("from user u where u.id="+id);
   if(!"".equals(name.trim())){

sb.append("and name="+name);

}
 

}


想问一下，有什么比较好的方法对应这种不定字段的查询，  这种查询不能防止sql脚本注入啊
------解决方案--------------------
楼主不会用"?"占位符代替吗.