SQL动态SQL怎么写动态SQL的3种实现方式-SQL-PHP中文网

SQL动态SQL怎么写动态SQL的3种实现方式

冰火之心

发布： 2025-06-22 10:12:02

原创

582人浏览过

动态sql的实现方式有三种：字符串拼接、sql预处理语句和orm框架。1. 字符串拼接是通过条件判断拼接sql片段，优点是简单易懂，但存在sql注入风险，可读性和性能较差。2. sql预处理语句使用占位符防止sql注入，性能较好，但实现稍复杂且需手动管理参数。3. orm框架如mybatis提供丰富标签支持，可读性高且安全，但学习成本较高，性能略低。选择时应根据项目复杂度和性能需求决定，简单项目可用前两种，复杂项目推荐orm框架，同时注意防范sql注入。

SQL动态SQL怎么写动态SQL的3种实现方式

动态SQL，简单来说，就是根据不同的条件，生成不同的SQL语句。它能让你的SQL语句更加灵活，避免写一大堆冗余的判断逻辑。

解决方案

动态SQL的核心在于“动态”二字，也就是根据不同的情况，生成不同的SQL语句。实现方式有很多，这里介绍三种比较常见的：字符串拼接、使用SQL预处理语句、以及使用ORM框架。

1. 字符串拼接

这是最直接也最简单的方式。根据不同的条件，拼接不同的SQL片段，最后组合成完整的SQL语句。

String sql = "SELECT * FROM users WHERE 1=1"; // 1=1 是为了方便后续添加条件
String name = request.getParameter("name");
String email = request.getParameter("email");

if (name != null && !name.isEmpty()) {
    sql += " AND name LIKE '%" + name + "%'";
}

if (email != null && !email.isEmpty()) {
    sql += " AND email = '" + email + "'";
}

// 执行SQL
Statement stmt = connection.createStatement();
ResultSet rs = stmt.executeQuery(sql);

登录后复制

优点： 简单易懂，容易上手。

缺点：

容易出现SQL注入漏洞。必须对用户输入进行严格的过滤和转义。
代码可读性差，SQL语句拼接复杂时，容易出错。
性能较差，每次执行SQL都需要重新编译。

2. SQL预处理语句 (PreparedStatement)

PreparedStatement是JDBC提供的一种预编译SQL语句的方式。它使用占位符（?）代替实际的参数值，然后在执行SQL语句时，再将参数值传递给占位符。

String sql = "SELECT * FROM users WHERE 1=1";
List<Object> params = new ArrayList<>();

String name = request.getParameter("name");
String email = request.getParameter("email");

if (name != null && !name.isEmpty()) {
    sql += " AND name LIKE ?";
    params.add("%" + name + "%");
}

if (email != null && !email.isEmpty()) {
    sql += " AND email = ?";
    params.add(email);
}

PreparedStatement pstmt = connection.prepareStatement(sql);

for (int i = 0; i < params.size(); i++) {
    pstmt.setObject(i + 1, params.get(i));
}

ResultSet rs = pstmt.executeQuery();

登录后复制

优点：

可以有效防止SQL注入漏洞，因为参数值不会直接拼接到SQL语句中。
性能较好，SQL语句只需要编译一次，后续执行只需要传递参数值。
代码可读性较好，SQL语句结构清晰。

缺点：

相比字符串拼接，稍微复杂一些。
需要手动管理参数列表。

3. ORM框架 (MyBatis, Hibernate)

萌动AI

CreateAI旗下AI动漫视频生成平台

438

查看详情

ORM框架提供了更高级的动态SQL支持。以MyBatis为例，可以使用<if>, <choose>, <where>, <set>等标签，根据不同的条件生成不同的SQL片段。

<select id="findUsers" parameterType="map" resultType="User">
  SELECT * FROM users
  <where>
    <if test="name != null and name != ''">
      AND name LIKE #{name}
    </if>
    <if test="email != null and email != ''">
      AND email = #{email}
    </if>
  </where>
</select>

登录后复制

优点：