在Java开发中，拼接SQL语句是常见的需求，无论是简单的CRUD操作还是复杂的查询条件处理，都离不开动态SQL的构建，直接字符串拼接的方式不仅容易出错，还可能导致SQL注入风险，因此选择合适的方法至关重要，本文将介绍几种主流的Java代码拼接SQL语句的方式，分析其优缺点及适用场景，帮助开发者高效、安全地完成SQL拼接任务。
字符串拼接：基础但需谨慎的方式
字符串拼接是最直观的SQL构建方式，通过运算符或StringBuilder将变量和SQL片段组合起来。
String username = "admin"; String password = "123456"; String sql = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";
优点：实现简单，无需额外依赖，适合临时调试或简单的静态SQL场景。
缺点：
- SQL注入风险：若用户输入未经验证，恶意代码可直接拼接进SQL语句，如输入
' OR '1'='1会导致绕过验证。 - 可维护性差：SQL语句与Java代码耦合，复杂查询时字符串拼接逻辑混乱，难以阅读和调试。
- 性能问题：频繁使用运算符会创建多个临时字符串对象，而
StringBuilder虽能优化性能，但仍需手动管理拼接顺序。
适用场景：仅用于内部工具、固定参数的简单查询,且必须确保输入参数经过严格过滤。
PreparedStatement：参数化查询的安全选择
为避免SQL注入，java.sql.PreparedStatement提供了参数化查询机制，通过占位符替代变量值，SQL语句与参数分离。
String sql = "SELECT * FROM users WHERE username = ? AND password = ?"; PreparedStatement pstmt = connection.prepareStatement(sql); pstmt.setString(1, username); pstmt.setString(2, password); ResultSet rs = pstmt.executeQuery();
优点：
- 安全性高：参数值会被自动转义，杜绝SQL注入风险。
- 性能优化：数据库可预编译SQL语句，重复执行时只需替换参数，效率更高。
- 代码清晰：SQL结构固定，参数绑定逻辑明确，便于维护。
缺点：
- 动态条件（如可选的WHERE子句）处理较复杂，需手动拼接SQL片段或使用
StringBuilder管理条件。
适用场景：绝大多数生产环境中的增删改查操作,尤其是涉及用户输入的场景。
动态SQL框架：灵活高效的解决方案
当业务需求复杂，需根据条件动态增删SQL片段时，手动拼接PreparedStatement的SQL语句会变得繁琐，MyBatis、JPA等ORM框架提供的动态SQL功能是更优选择。
MyBatis的动态SQL
MyBatis通过<if>、<where>、<foreach>等标签实现动态SQL拼接，
<select id="findUsers" resultType="User">
SELECT * FROM users
<where>
<if test="username != null">
AND username = #{username}
</if>
<if test="status != null">
AND status = #{status}
</if>
</where>
</select>
优点：
- XML与Java代码分离，SQL逻辑更清晰。
- 支持复杂条件组合、循环遍历（如IN查询）等场景。
JPA的Specification动态查询
Spring Data JPA的Specification接口允许通过编程方式动态构建查询条件：
public Specification<User> buildSpecification(String username, Integer status) {
return (root, query, cb) -> {
List<Predicate> predicates = new ArrayList<>();
if (StringUtils.isNotBlank(username)) {
predicates.add(cb.equal(root.get("username"), username));
}
if (status != null) {
predicates.add(cb.equal(root.get("status"), status));
}
return cb.and(predicates.toArray(new Predicate[0]));
};
}
优点：面向对象的方式构建查询，与Spring Data生态无缝集成，适合Spring Boot项目。
适用场景：需要频繁动态调整查询条件的业务系统，如后台管理系统、数据报表等。
SQL构建工具类：轻量级辅助方案
对于不引入ORM框架的项目，可自定义SQL构建工具类，封装StringBuilder和参数校验逻辑，
public class SqlBuilder {
private StringBuilder sql = new StringBuilder();
private List<Object> params = new ArrayList<>();
public SqlBuilder append(String sqlFragment, Object... param) {
sql.append(sqlFragment);
if (param != null) {
Collections.addAll(params, param);
}
return this;
}
public String getSql() {
return sql.toString();
}
public Object[] getParams() {
return params.toArray();
}
}
// 使用示例
SqlBuilder builder = new SqlBuilder()
.append("SELECT * FROM users WHERE 1=1")
.append(" AND username = ?", username)
.append(" AND status = ?", status);
String sql = builder.getSql();
Object[] params = builder.getParams();
优点：轻量级、无依赖，可灵活适配项目需求，同时避免字符串拼接的混乱。
缺点：需自行维护工具类，功能不如框架完善。
适用场景：中小型项目或对框架有兼容性要求时,作为轻量级替代方案。
最佳实践与注意事项
- 优先使用参数化查询：无论何种拼接方式，都应确保用户输入通过
PreparedStatement处理，避免SQL注入。 - 避免拼接关键字：禁止动态拼接SQL关键字（如
SELECT、DELETE），防止恶意操作。 - 注重可读性：复杂SQL建议通过换行、缩进或框架标签提高可读性，避免单行代码过长。
- 性能优化：高频查询应考虑预编译缓存，减少SQL解析开销。
- 单元测试覆盖：对动态SQL逻辑编写单元测试，验证不同条件组合下的正确性。
Java代码拼接SQL语句的方式需根据项目需求和安全要求综合选择，字符串拼接仅适用于简单场景，PreparedStatement是安全性的基础保障，而MyBatis、JPA等动态SQL框架则能高效应对复杂业务逻辑，开发者应始终将安全性放在首位，结合可维护性和性能需求，选择最适合的SQL构建方案,确保代码既高效又可靠。
