动态SQL拼接中如何用for循环实现WHERE条件参数追加

遍历参数时，只拼接“有效”的查询条件

关键在于，循环逻辑不应无条件拼接所有传入字段，而必须有选择地进行筛选。所谓“有效”，通常指参数值非空、非空字符串，或者不是业务逻辑中的默认值（例如状态不等于0）。

以下是一个Java中的示例逻辑（请注意，在MyBatis的XML映射文件中，通常不推荐手动编写Java循环，而应使用其内置的动态SQL标签。此处仅以代码逻辑演示核心思路）：

一种更清晰的做法是，先将有效的条件语句收集到一个列表中，最后再统一进行拼接。这种方法比在循环中直接修改字符串更加直观，也更容易进行调试和问题排查。

“WHERE 1=1”的设计初衷：统一处理逻辑，而非制造漏洞

“WHERE 1=1”的本质，是提供一个恒为真的逻辑起点，使得后续每个条件都能以“AND”开头，无需判断自身是否为第一个条件。但更健壮、更优雅的实现方案是：

• 遍历参数，将所有有效的条件片段（例如“name = ?”）收集到一个List中。
• 使用String.join(" AND ", conditions)进行拼接。此方法会自动处理连接词，不会在开头或结尾产生多余的“AND”。
• 如果列表为空，则整个WHERE子句可以直接省略，生成的SQL语句更加简洁。仅在极少数必须保留WHERE关键字的情况下（例如后面必须跟随ORDER BY子句），才考虑补充“WHERE 1=1”。

通过这种方式，代码的意图从“修补SQL语法”转变为“构建有效条件集合”，逻辑层次更加分明，可读性也得到提升。

核心安全风险：SQL注入攻击与参数错配

在循环中拼接字符串时，最大的威胁是将用户输入直接嵌入SQL语句。这是绝对需要避免的安全红线。

• 错误示例："name = '" + params.get("name") + "'"。这种写法为SQL注入攻击敞开了大门。
• 正确做法：始终坚持使用预编译占位符（?），并通过PreparedStatement.setXxx()方法安全地绑定参数值。
• 最佳实践：直接采用MyBatis、JPA等成熟的持久层框架。它们提供的动态SQL功能（如MyBatis的标签）会自动处理条件判断和参数绑定，从根本上杜绝手动拼接字符串带来的安全风险。

超越循环：声明式条件构建已成为主流

如今，主流的ORM框架已经提供了远比手动编写for循环更优秀的解决方案。它们遵循“声明式”编程理念，让开发者专注于“需要什么条件”，而不是“如何拼接字符串”。

• MyBatis XML配置：使用标签包裹条件，框架会自动去除首尾多余的“AND”或“OR”，并在所有条件为空时忽略整个WHERE子句。
• MyBatis-Plus QueryWrapper：通过链式调用方式，例如.eq("name", name).ne("status", null)，以近乎自然语言的形式构建查询，内部自动完成SQL组装与参数安全处理。
• JPA Criteria API：提供类型安全的查询构建方式，所有条件都在编译期进行检查，彻底告别字符串拼接可能带来的潜在错误与安全问题。

总而言之，手动编写for循环拼接SQL的方式，仅适用于非常简单的JDBC场景，且必须严格配合参数化查询与输入验证。对于绝大多数现代应用程序，拥抱框架提供的声明式动态SQL方案，才是更安全、更高效、更易于维护的技术选择。这不仅是技术选型问题，更是一种编写可靠、健壮代码的思维习惯与最佳实践。