何为动态SQL最佳实践

**动态 SQL（Dynamic SQL）**通常指根据运行时的条件拼接或生成不同的 SQL 语句（如 MyBatis 的 <if>、<foreach>，或 Java/Python 中字符串拼接 SQL）。其“最佳实践”核心目标是：安全、可维护、可调试、性能可控。

下面从原则、写法、框架示例和常见坑四个层面说明。

一、核心最佳实践原则

1. 永远避免字符串拼接用户输入

❌ 错误：

String sql = "SELECT * FROM user WHERE name = '" + name + "'";

✅ 正确：使用参数化查询（PreparedStatement / 占位符）

2. 使用框架提供的动态 SQL 能力

不要手写复杂拼接逻辑：

• MyBatis：<if> <choose> <foreach> <where>
• JPA / Hibernate：Criteria API、Specification
• Python：SQLAlchemy、参数化 cursor.execute

3. 明确“动态边界”

只让条件动态，结构尽量静态：

• 表名、列名：尽量固定
• WHERE 条件：可动态
• 排序字段：谨慎动态（白名单）

4. 防 SQL 注入的“白名单”策略

排序、分组、字段名不能参数化时：

Set<String> allowColumns = Set.of("id", "name", "create_time");
if (!allowColumns.contains(sortField)) {
    sortField = "id";
}

二、MyBatis 动态 SQL 最佳实践示例

1. <where> + <if>（最常用）

<select id="listUser" resultType="User">
  SELECT * FROM user
  <where>
    <if test="name != null">
      AND name LIKE CONCAT('%', #{name}, '%')
    </if>
    <if test="status != null">
      AND status = #{status}
    </if>
  </where>
</select>

✅ <where> 自动处理多余 AND

2. <foreach> 用于 IN 查询

AND id IN
<foreach collection="ids" item="id" open="(" close=")" separator=",">
  #{id}
</foreach>

3. <choose> 替代 if-else

<choose>
  <when test="type == 'A'">AND type = 'A'</when>
  <when test="type == 'B'">AND type = 'B'</when>
  <otherwise>AND type = 'C'</otherwise>
</choose>

三、Java 代码层动态 SQL 建议

推荐：QueryDSL / JPA Specification

Specification<User> spec = (root, query, cb) -> {
    List<Predicate> list = new ArrayList<>();
    if (name != null) list.add(cb.like(root.get("name"), name));
    return cb.and(list.toArray(new Predicate[0]));
};

✅ 类型安全
✅ 不易出错
✅ 可组合

四、性能与可维护性最佳实践

1. 避免“全动态”

❌ 所有字段都可变
✅ 固定主结构 + 动态条件

2. 控制 IN 数量

• MySQL 建议 IN < 1000
• 超大列表拆批或临时表

3. 打印最终 SQL（调试用）

• MyBatis：logImpl=STDOUT
• 注意：只用于开发环境

4. 单条 SQL 复杂度可控

动态 SQL 不应变成“SQL 生成器”，复杂逻辑建议：

• 拆分多条 SQL
• 使用视图 / 存储过程（谨慎）

五、常见反模式（应避免）

六、一句话总结

动态 SQL 的最佳实践：结构静态、条件动态、参数化查询、白名单控制、框架优先。

如果你指的是某种具体技术（MyBatis / JPA / Python / Go）或某种场景（报表 / 搜索 / 权限过滤），我可以给更针对性的示例。