PostgreSQL 的 SET 命令属于会话级配置指令，语法上不接受任何参数占位符（如 ? 或 :variable），因此在 JDBC 中对其使用 setParameter() 会导致 PSQLException: syntax error at or near "$1"。根本原因在于 PostgreSQL 协议层面限制——仅 DML/SELECT 类语句支持预编译参数化。
postgresql 的 `set` 命令属于会话级配置指令，语法上不接受任何参数占位符（如 `?` 或 `:variable`），因此在 jdbc 中对其使用 `setparameter()` 会导致 `psqlexception: syntax error at or near "$1"`。根本原因在于 postgresql 协议层面限制——仅 dml/select 类语句支持预编译参数化。
在 PostgreSQL 中，SET 是一条纯文本命令（non-parameterized command），用于动态修改会话变量（如 app.variable、search_path、statement_timeout 等）。它不参与查询计划编译，也不通过 PostgreSQL 的 Bind 消息协议传递参数——这意味着 JDBC 驱动在尝试将 :variable 绑定为 $1 时，PostgreSQL 解析器会在 SET app.variable = $1 处直接报错，因为 $1 在 SET 语境下是非法语法。
✅ 正确做法：拼接字符串（需严格校验）或使用 setConfig() API
方案一：安全字符串拼接（推荐用于可信值）
若变量值来自受控上下文（如配置常量、枚举、白名单校验后的输入），可手动拼接：
String variableName = "app.variable";
String variableValue = "variableValue";
// ✅ 安全前提：确保 variableValue 符合 PostgreSQL 标识符/字符串字面量规则
// 示例：对字符串值加单引号并转义（简单场景可用）
String escapedValue = variableValue.replace("'", "''");
String sql = "SET " + variableName + " = '" + escapedValue + "'";
this.getSessionFactory().getCurrentSession()
.createNativeQuery(sql)
.executeUpdate();⚠️ 注意：此方式严禁用于用户直输内容，否则存在 SQL 注入风险。务必先做白名单校验或正则过滤（例如只允许 [a-zA-Z0-9_.]+ 的变量名，值仅限 ASCII 字母数字及有限符号）。
方案二：使用 JDBC 原生连接的 setClientInfo() 或 setConfig()（JDBC 4.2+）
PostgreSQL JDBC 驱动（pgjdbc）自 42.2.0 起支持标准 JDBC Connection.setClientInfo()，部分会话变量可通过该接口设置（但非全部）：
Connection conn = this.getSessionFactory().getCurrentSession().connection();
try {
conn.setClientInfo("ApplicationName", "MyApp"); // ✅ 支持的标准键
// 注意：自定义变量如 'app.variable' 不在此标准范围内，不可用
} catch (SQLClientInfoException e) {
// 处理不支持的键
}对于 app.* 类自定义变量，仍需走原生 SET，但必须规避参数化。
方案三：使用 doWork() 执行原始 JDBC 操作（最灵活）
绕过 Hibernate 的 Query 抽象，直接操作底层 Connection，确保完全控制 SQL 构造：
this.getSessionFactory().getCurrentSession().doWork(connection -> {
String sql = "SET app.variable = ?";
try (PreparedStatement ps = connection.prepareStatement(sql)) {
ps.setString(1, "variableValue"); // ❌ 仍会失败！
}
});⚠️ 注意：上述 PreparedStatement 写法依然错误——SET 不支持 ?。正确写法应为：
this.getSessionFactory().getCurrentSession().doWork(connection -> {
try (Statement stmt = connection.createStatement()) {
stmt.execute("SET app.variable = 'variableValue'");
}
});总结与最佳实践
- ? SET、SHOW、BEGIN、COMMIT 等会话控制语句一律不支持 JDBC 参数绑定；
- ✅ 唯一安全方式是：对变量名和值做严格白名单校验后，拼接为完整 SQL 字符串；
- ? 绝对禁止将未经清洗的用户输入代入 SET 语句；
- ? 若需频繁设置会话变量，建议封装工具类，内置校验逻辑（如 StringUtils.isAlphanumericUnderscore(value) + 引号包裹与单引号转义）；
- ? 参考 PostgreSQL 官方文档：SET 明确说明其语法为 SET configuration_parameter { TO | = } { value | 'value' | DEFAULT }，无参数占位符支持。
牢记：不是 JDBC 的 Bug，而是 PostgreSQL 协议设计使然——理解命令类别（DML vs. Session Command）是避免此类错误的关键。
