动态SQL指的是在程序运行过程中，根据传入的参数、业务条件动态拼接生成SQL语句再执行的技术，在需要灵活适配不同查询条件、动态生成表名或字段名的场景中应用十分广泛。
动态SQL的常见执行方式
1. 直接拼接字符串执行
这是最基础的实现方式，将条件参数直接拼接到SQL字符串中，再调用数据库执行接口。以Java中使用JDBC执行动态查询为例：
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
public class DynamicSqlDemo {
public static void main(String[] args) throws Exception {
String username = "testUser";
// 直接拼接动态SQL
String sql = "SELECT * FROM user WHERE username = '" + username + "'";
Connection conn = DriverManager.getConnection("jdbc:mysql://127.0.0.1:3306/test", "root", "password");
PreparedStatement ps = conn.prepareStatement(sql);
ResultSet rs = ps.executeQuery();
while (rs.next()) {
System.out.println("用户ID：" + rs.getInt("id"));
}
rs.close();
ps.close();
conn.close();
}
}
2. 使用框架提供的动态SQL能力
主流ORM框架如MyBatis都内置了动态SQL支持，通过标签动态拼接条件，避免手动拼接字符串的繁琐。以下是MyBatis中动态查询的示例：
<select id="queryUser" parameterType="map" resultType="User">
SELECT * FROM user
<where>
<if test="username != null">
AND username = #{username}
</if>
<if test="age != null">
AND age = #{age}
</if>
</where>
</select>
动态SQL的潜在风险
动态SQL最大的风险来自SQL注入，当拼接的参数包含恶意SQL片段时，会改变原SQL的逻辑，引发安全问题。
SQL注入示例
如果上述直接拼接字符串的示例中，传入的username参数为test' OR '1'='1，拼接后的SQL会变成：
SELECT * FROM user WHERE username = 'test' OR '1'='1'
这条语句会查询出所有用户数据，造成数据泄露。如果恶意参数包含DROP TABLE等危险操作，甚至会导致表被删除。
其他风险
- 动态拼接表名、字段名时如果未做校验，可能访问到无权限的数据库对象
- 复杂动态SQL逻辑可能导致执行计划不稳定，引发数据库性能问题
- 拼接逻辑错误可能生成语法错误的SQL，导致程序运行异常
动态SQL风险防范方法
1. 优先使用参数化查询
参数化查询会将参数和SQL逻辑分离，数据库会把参数当作纯数据处理，不会执行其中的SQL片段。上述JDBC示例可以修改为参数化查询：
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
public class SafeDynamicSqlDemo {
public static void main(String[] args) throws Exception {
String username = "testUser";
// 使用?作为占位符，参数化传入
String sql = "SELECT * FROM user WHERE username = ?";
Connection conn = DriverManager.getConnection("jdbc:mysql://127.0.0.1:3306/test", "root", "password");
PreparedStatement ps = conn.prepareStatement(sql);
// 设置参数，避免SQL注入
ps.setString(1, username);
ResultSet rs = ps.executeQuery();
while (rs.next()) {
System.out.println("用户ID：" + rs.getInt("id"));
}
rs.close();
ps.close();
conn.close();
}
}
2. 严格校验动态拼接的内容
如果必须动态拼接表名、字段名（参数化查询不支持这类场景），需要对输入内容做白名单校验，只允许指定的合法值通过。示例：
import java.util.Arrays;
import java.util.List;
public class TableNameValidate {
// 白名单允许的表名
private static final List<String> ALLOW_TABLES = Arrays.asList("user", "order", "product");
public static String getSafeTableName(String inputTable) {
if (ALLOW_TABLES.contains(inputTable)) {
return inputTable;
}
throw new IllegalArgumentException("非法的表名");
}
}
3. 使用框架的安全特性
使用MyBatis等框架时，优先使用#{}占位符而不是${}拼接，#{}会自动进行参数化处理，${}则是直接字符串替换，存在注入风险。同时避免将用户输入直接传入动态SQL的拼接逻辑中。
4. 最小权限原则
程序连接数据库使用的账号只授予必要的最小权限，比如只给查询权限的账号就不要授予增删改、表结构修改的权限，即使发生注入攻击，也能降低损失范围。
5. 输入内容过滤
对用户输入的内容做特殊字符过滤，比如过滤单引号、分号、注释符号等SQL中的特殊字符，进一步降低注入风险。但过滤不能替代参数化查询，只能作为辅助手段。
总结
动态SQL能够提升开发的灵活性，适配多变的业务需求，但必须重视其带来的安全风险。实际开发中应该优先使用参数化查询，对必须动态拼接的内容做严格校验，结合权限控制和输入过滤等手段，全方位防范动态SQL相关的安全问题，保障数据库系统的安全。