数据库Dynamic SQL是什么

数据库中的 Dynamic SQL（动态 SQL），指的是在程序运行期间，根据条件或输入临时拼接、生成并执行的 SQL 语句，而不是在代码中写死的静态 SQL。

一、什么是 Dynamic SQL

• 静态 SQL：SQL 语句在编译时就已确定

  SELECT * FROM user WHERE id = 1;
  

• 动态 SQL：SQL 语句在运行时才决定

  根据用户输入的查询条件，拼接出不同的 SQL
  

例如：

-- 根据是否有姓名条件动态拼接
SELECT * FROM user
WHERE 1=1
  AND name LIKE ?
  AND age > ?

二、为什么需要 Dynamic SQL

1. 查询条件不固定

   • 用户可能只填姓名、只填年龄，或都填

2. 表名或字段名运行时才确定

   • 分表（user_2023、user_2024）

3. 动态排序、分页

   • ORDER BY 字段由前端传

4. 减少重复代码

   • 不用写很多 if-else 的静态 SQL

三、常见使用方式

1️⃣ 在后端代码中拼接（Java / Python 等）

String sql = "SELECT * FROM user WHERE 1=1";
if (name != null) {
    sql += " AND name LIKE ?";
}

⚠️ 注意：容易 SQL 注入，必须用参数化。

2️⃣ 数据库端动态 SQL（存储过程）

MySQL 示例：

SET @sql = 'SELECT * FROM user';
SET @sql = CONCAT(@sql, ' WHERE age > 18');
PREPARE stmt FROM @sql;
EXECUTE stmt;

Oracle：

EXECUTE IMMEDIATE 'SELECT * FROM user WHERE id = 1';

3️⃣ MyBatis 中的 Dynamic SQL（最常用）

<select id="findUser">
  SELECT * FROM user
  <where>
    <if test="name != null">
      AND name LIKE #{name}
    </if>
    <if test="age != null">
      AND age > #{age}
    </if>
  </where>
</select>

四、Dynamic SQL 的优点 & 缺点

✅ 优点

• 灵活、适应复杂业务
• 减少 SQL 数量
• 支持动态表、字段、条件

❌ 缺点

• 易写错、难调试
• 有 SQL 注入风险
• 性能可能不如静态 SQL 稳定

五、安全建议（非常重要）

✅ 使用 参数化查询（PreparedStatement）
❌ 不要直接拼接用户输入
✅ 白名单校验表名 / 字段名
✅ 限制动态 SQL 的使用范围

如果你愿意，我也可以：

• 用 MySQL / Oracle / SQL Server 举例
• 讲 MyBatis 动态 SQL 标签
• 对比 动态 SQL vs 静态 SQL 性能

你更想了解哪一块？