应优先使用StringBuilder构建动态SQL，因其可变性避免字符串不可变导致的频繁对象创建和GC压力；需注意初始化容量、空格逗号一致性、参数占位符及WHERE条件管理，并严格遵循参数化原则防止SQL注入。
动态SQL构建在Java开发中很常见，比如根据条件拼接WHERE子句、批量插入语句或生成INSERT...ON DUPLICATE KEY UPDATE等复杂语句。用StringBuilder比字符串拼接高效，但要注意可读性、安全性与边界处理。
为什么不用字符串拼接？
Java中字符串是不可变的，每次+操作都会创建新对象。拼接10次可能产生10个中间String对象，GC压力大。而StringBuilder在内部维护一个可变字符数组，append操作基本是O(1)均摊时间复杂度。
建议：只要拼接次数≥3，或拼接逻辑在循环/条件分支中，优先选StringBuilder。
基础写法与常见陷阱
初始化容量能减少数组扩容次数。例如预估最终SQL长度为200字符，可写：StringBuilder sql = new StringBuilder(200);
立即学习“Java免费学习笔记（深入）”；
避免漏掉空格或逗号导致SQL语法错误：
- WHERE后直接接条件易丢空格 → 写成
" WHERE "而非"WHERE" - 多个AND/OR之间要确保前后有空格 → 推荐统一用
append(" AND ").append(...) - IN语句拼参数时，末尾多一个逗号 → 可用
String.join()或手动截断
带条件的动态WHERE构建
典型场景：用户筛选订单，参数可能为空。
推荐结构：先拼固定部分（如"SELECT * FROM order"），再用布尔标记是否已加WHERE，避免结尾多出AND：
StringBuilder sql = new StringBuilder("SELECT * FROM order");
boolean hasWhere = false;
<p>if (status != null) {
if (!hasWhere) {
sql.append(" WHERE ");
hasWhere = true;
} else {
sql.append(" AND ");
}
sql.append("status = ?"); // 后续设参数，不直接拼值
}</p><p>if (userId != null) {
if (!hasWhere) {
sql.append(" WHERE ");
hasWhere = true;
} else {
sql.append(" AND ");
}
sql.append("user_id = ?");
}
更简洁做法：用List收集条件，最后join；或封装成工具方法统一处理分隔逻辑。
防止SQL注入与参数化原则
绝对不要把用户输入直接append()进SQL字符串。例如：
❌ sql.append("name = '").append(name).append("'"); → 危险！
✅ 正确方式：只拼接SQL骨架，参数用?占位，由PreparedStatement绑定：
- 拼出
"SELECT * FROM user WHERE age > ? AND city = ?" - 执行时调用
ps.setInt(1, minAge); ps.setString(2, city);
若必须拼接表名、列名（如动态排序字段），需严格白名单校验，不能依赖用户输入。
批量INSERT的高效写法
插入百条记录时，用一条INSERT…VALUES(…),(…),…比循环执行100次快得多。
示例：拼接多值列表
StringBuilder sql = new StringBuilder("INSERT INTO log (uid, action, time) VALUES ");
for (int i = 0; i < logs.size(); i++) {
if (i > 0) sql.append(",");
sql.append("(?, ?, ?)");
}
后续用PreparedStatement批量设参（注意JDBC驱动对batch size的支持）。
不复杂但容易忽略：初始化容量、空格逗号一致性、参数占位符、条件分支的WHERE管理——把这些细节控住，StringBuilder就是动态SQL的可靠搭档。
