在后端接口或管理后台中，我们经常要根据多个条件查询数据，并且只能返回当前登录用户有权限看到的记录。这就需要在SQL里同时使用多个WHERE条件，并且把用户标识作为固定过滤项，避免越权访问。
使用AND和OR组合多个条件
最基本的做法是使用AND连接多个过滤条件，所有条件都满足才返回行。如果条件之间是或的关系，就用OR。当混合使用时，必须用括号明确优先级，否则逻辑会出错。
示例：查询某用户未完成的订单
下面语句查出用户编号为1001、状态为待支付或已发货的订单：
SELECT order_id, amount, status FROM orders WHERE user_id = 1001 AND (status = 'pending' OR status = 'shipped');
安全地过滤用户特定数据
直接把用户编号拼进SQL字符串容易引发SQL注入，也可能因为前端传错值导致查到别人的数据。正确方式是用参数化查询，把用户编号作为绑定参数，由数据库驱动做转义与类型检查。
使用预处理语句的写法
以Python的sqlite3为例，用问号占位符传入当前用户编号和业务条件：
import sqlite3
user_id = 1001
max_amount = 500
conn = sqlite3.connect('shop.db')
cur = conn.cursor()
# 参数化查询，避免拼接字符串
sql = """
SELECT order_id, amount
FROM orders
WHERE user_id = ?
AND amount <= ?
AND status <> 'canceled'
"""
cur.execute(sql, (user_id, max_amount))
rows = cur.fetchall()
常见错误与建议
- 忘记加用户条件，导致全表数据泄露
- 用字符串拼接用户输入，产生注入漏洞
- 混淆AND与OR优先级，不使用括号
建议在数据访问层统一封装查询方法，强制带上user_id条件，并使用参数化接口。这样业务代码只需关心业务过滤，安全过滤由底层保证。
总结
在SQL中组合多个WHERE条件时，用AND和OR配合括号表达清晰逻辑；过滤用户特定数据必须把用户标识作为不可省略的参数，并通过参数化查询执行。这样既准确又安全。