不能直接将前端字段名拼入GROUP BY，必须通过白名单校验后动态拼接SQL，或用CASE WHEN统一映射分组逻辑；否则因变量不被解析为列名，会导致报错或全归一组。
不能直接把前端传来的字段名塞进 GROUP BY，硬拼会出错或被注入；真正能落地的方案只有两种：用 CASE WHEN 模拟动态分组，或服务端白名单校验后拼 SQL。
GROUP BY 里写变量为什么总是报错或结果全归一组？
SQL 解析器在编译阶段就锁定列名，GROUP BY @col 或 GROUP BY ${groupField} 中的变量不会被识别为字段，而是当成字符串字面量或未声明变量处理。MySQL 可能静默执行但结果错误（所有行分到同一组），SQL Server 直接报错“必须声明标量变量”。
- 错误示例：
GROUP BY :group_param（占位符不生效）、GROUP BY ${field}（MyBatis 中未校验时极危险） - 正确思路：要么提前约定可选字段（如
'region'、'product_type'、'order_month'），走白名单拼接；要么放弃变量，改用CASE WHEN把多个原始字段映射成统一逻辑列 - 别指望数据库自动“理解”你传的字符串——它只认语法树里真实存在的列或表达式
用 CASE WHEN 实现分组字段切换（安全、免拼接）
适合维度不多、枚举明确的场景，比如前端让用户选“按地区”“按产品线”“按客户等级”三类分组，背后其实都映射到固定几列的计算逻辑。
- 每个分组选项对应一个
CASE WHEN表达式，必须同时出现在SELECT和GROUP BY中：SELECT CASE WHEN :group_by = 'region' THEN region WHEN :group_by = 'product' THEN product ELSE 'all' END AS group_key, SUM(sales) FROM orders GROUP BY CASE WHEN :group_by = 'region' THEN region WHEN :group_by = 'product' THEN product ELSE 'all' END - 注意：
:group_by是参数占位符，不是字符串拼接，由 JDBC/psycopg2 等驱动绑定，防注入 - 避免嵌套过深——超过 3–4 层
WHEN就该考虑拆成多个查询，否则可读性和维护性断崖下跌 - PostgreSQL 支持
DISTINCT ON配合CASE做轻量级分组预处理，MySQL 8.0+ 用ROW_NUMBER()类似
真要拼动态字段？白名单校验和类型对齐是生死线
拼接不是不能做，但每一步都得设防：字段名合法性、GROUP BY 与 SELECT 对齐、NULL 处理、排序显式声明。
- 先查
INFORMATION_SCHEMA.COLUMNS确认传入字段确实在目标表中存在，且类型可分组（比如不能对TEXT字段直接GROUP BY，MySQL 8.0+ 要加前缀长度） -
SELECT列表里出现的所有非聚合字段，必须原样出现在GROUP BY子句中——动态拼的时候漏掉一个，MySQL 5.7+ 直接因ONLY_FULL_GROUP_BY报错 - 多字段拼接时用
GROUP_CONCAT（MySQL）或STRING_AGG（PG/SQL Server），别手写逗号，防止空格或关键字（如order）混入导致语法错误 - 没写
ORDER BY的动态查询，两次执行结果顺序可能不同——这不是 bug，是标准行为，必须显式加
条件聚合和分组逻辑容易混淆的点
很多人把“按用户偏好分组”和“统计偏好出现次数”当成一回事，结果一 JOIN 就爆炸——笛卡尔积让汇总值翻倍甚至错乱。
- 偏好数据通常是一行一属性（
user_id, pref_type, pref_value），想按“是否喜欢咖啡”分组，得先用窗口函数取每个用户的最新偏好，再 JOIN 订单表，而不是直接JOIN后GROUP BY user_id - 条件聚合（如
SUM(CASE WHEN pref_type='beverage' AND pref_value='coffee' THEN 1 ELSE 0 END)）只能回答“有没有”，不能还原原始偏好结构；需要结构化汇总时，用JSON_OBJECT_AGG或GROUP_CONCAT，但 key 必须唯一，否则 MySQL 会丢数据 -
WHERE过滤的是原始行，HAVING过滤的是分组后结果——把WHERE sales > 10000错写成HAVING SUM(sales) > 10000，会导致本该排除的低销区也被纳入分组计算
最麻烦的从来不是怎么写，而是字段来源是否稳定、枚举值会不会新增、NULL 怎么算、以及前端一次勾选三个字段时，后端能不能保证拼出来的 SQL 在所有数据库版本上都跑通——这些细节不提前对齐，上线后就是半夜告警。
