在业务开发中，经常需要根据用户传入的可选参数生成不同的SQL SELECT查询条件，比如用户可以选择按姓名、年龄、创建时间等字段筛选数据，部分参数可能为空不需要加入查询条件，这就需要实现SQL SELECT条件的动态拼接。
常见的动态拼接实现方式
1. 字符串拼接方式
最基础的方式是根据参数是否为空，拼接对应的SQL条件片段，这种方式实现简单但存在SQL注入风险，仅适合内部可信场景使用。
以Java语言为例，拼接逻辑如下：
import java.util.ArrayList;
import java.util.List;
public class SqlSpliceDemo {
public static String buildSelectSql(String name, Integer minAge, Integer maxAge) {
StringBuilder sql = new StringBuilder("SELECT * FROM user WHERE 1=1");
List<Object> params = new ArrayList<>();
if (name != null && !name.isEmpty()) {
sql.append(" AND name LIKE ?");
params.add("%" + name + "%");
}
if (minAge != null) {
sql.append(" AND age >= ?");
params.add(minAge);
}
if (maxAge != null) {
sql.append(" AND age <= ?");
params.add(maxAge);
}
return sql.toString();
}
}
上面的代码中先初始化基础查询语句，然后逐个判断参数是否有效，有效则拼接对应的条件片段，同时使用?作为占位符避免直接拼接参数值。
2. 参数化查询方式
参数化查询是更安全的动态拼接方式，数据库会对参数进行转义处理，从根源上避免SQL注入问题，适合对外暴露的接口场景。
以Python的pymysql库为例，实现动态条件拼接：
def build_user_query(name=None, min_age=None, max_age=None):
base_sql = "SELECT id, name, age FROM user WHERE 1=1"
params = []
if name is not None:
base_sql += " AND name LIKE %s"
params.append(f"%{name}%")
if min_age is not None:
base_sql += " AND age >= %s"
params.append(min_age)
if max_age is not None:
base_sql += " AND age <= %s"
params.append(max_age)
return base_sql, params
# 执行查询时传入参数
sql, query_params = build_user_query(name="张三", min_age=18)
# cursor.execute(sql, query_params)
3. 框架内置条件构造器
主流ORM框架都提供了条件构造器，无需手动拼接SQL字符串，通过链式调用即可生成动态条件，可读性和安全性都更有保障。
以MyBatis的<where>标签和<if>标签为例，在XML映射文件中实现动态拼接：
<select id="selectUserByCondition" resultType="User">
SELECT id, name, age, create_time FROM user
<where>
<if test="name != null and name != ''">
AND name LIKE CONCAT('%', #{name}, '%')
</if>
<if test="minAge != null">
AND age >= #{minAge}
</if>
<if test="maxAge != null">
AND age <= #{maxAge}
</if>
</where>
</select>
MyBatis的<where>标签会自动处理条件开头的AND关键字，避免拼接后出现多余的AND导致SQL语法错误。
不同方式的对比
以下是三种常见动态拼接方式的特性对比：
| 实现方式 | 安全性 | 实现难度 | 适用场景 |
|---|---|---|---|
| 字符串拼接 | 低，存在SQL注入风险 | 低 | 内部工具、无外部参数输入的场景 |
| 参数化查询 | 高，参数自动转义 | 中等 | 原生SQL开发、无ORM框架的场景 |
| 框架条件构造器 | 高，框架内置安全处理 | 低 | 使用ORM框架的常规业务开发场景 |
注意事项
- 无论使用哪种方式，都不要直接将用户输入的参数拼接到SQL语句中，避免SQL注入攻击。
- 拼接条件时注意处理逻辑运算符，比如多个条件之间的AND/OR关系，避免逻辑错误。
- 如果条件中包含特殊字符，比如单引号、百分号等，需要提前做转义处理，避免SQL语法错误。
- 动态拼接的SQL如果条件过多，建议添加索引优化查询性能，避免全表扫描。