JDBC动态拼SQL核心是安全、准确、可扩展，需用PreparedStatement+StringBuilder+条件驱动三者配合：固定SQL骨架，WHERE以1=1开头，动态子句按白名单校验字段名，参数与SQL分离，IN和NULL等特殊场景单独处理。
Java 中 JDBC 在复杂报表统计场景下动态拼接 SQL，核心不是“拼得快”，而是“拼得安全、查得准、扩得稳”。关键在于：用 PreparedStatement + StringBuilder + 条件驱动 三者配合，彻底避开字符串直接插值，同时让 WHERE、GROUP BY、ORDER BY、HAVING 等子句都可按需开关。
明确基础结构，固定骨架再填条件
报表 SQL 通常含 SELECT、FROM、WHERE、GROUP BY、HAVING、ORDER BY、LIMIT。不要从头拼，先搭好“安全骨架”：
- SELECT 子句建议用具体字段（避免 *），或封装为常量字符串，如
"SELECT dept, SUM(sales) total, COUNT(*) cnt" - FROM 部分固定主表，多表关联用 LEFT JOIN 显式写出，不参与动态逻辑
- WHERE 后统一以
1=1开头，后续所有条件都用AND xxx = ?追加，避免首条件判断分支 - GROUP BY / ORDER BY / HAVING 等子句只在对应参数非空/有效时才拼入，且其字段名必须白名单校验（防注入）
用 StringBuilder 拼 SQL，用 List 记参数，严格分离逻辑与数据
不要一边拼 SQL 一边设参数——容易错位。推荐两阶段法：
- 第一阶段：遍历业务参数（如 dateFrom、region、productType），用 StringBuilder 动态追加带
?占位符的条件片段，同时把对应参数值 add 到 ArrayList<Object> - 第二阶段：用 PreparedStatement 设置参数，按顺序调用
setString(i, list.get(i-1))等方法 - 示例片段：
if (startDate != null) {
sql.append(" AND order_date >= ?");
params.add(startDate);
}
if (!CollectionUtils.isEmpty(regions)) {
sql.append(" AND region IN (").append(String.join(",", Collections.nCopies(regions.size(), "?"))).append(")");
params.addAll(regions);
}
对动态子句做白名单控制，禁用任意字段名拼接
报表中常见用户选择排序字段、分组维度（如 “按月份分组” 或 “按城市分组”），这些字段名不能直接来自前端输入：
立即学习“Java免费学习笔记（深入）”；
- 定义合法字段映射表：
Map<String, String> groupByFields = Map.of("month", "DATE_FORMAT(order_time, '%Y-%m')", "city", "city_name"); - 前端传参只接受 key（如 "month"），后端查表转换为真实 SQL 片段，不在 SQL 字符串中拼接原始输入
- 同理，ORDER BY 字段、HAVING 条件中的聚合字段名，全部走白名单校验，非法值直接抛 IllegalArgumentException
避免常见坑：IN 参数、NULL 处理、空条件兜底
复杂报表最易出错的三个点：
-
IN 参数数量不定：用
String.join(",", Collections.nCopies(size, "?"))动态生成占位符串，再拼入 SQL；勿用... IN (?)试图一个 ? 代多个值 -
NULL 值查询：如 “查未分配负责人”，应写
AND owner_id IS NULL，而不是AND owner_id = ?传 null —— PreparedStatement 对 null 的处理与预期不同，需单独分支 -
全空条件时行为明确：若所有参数为空，是否返回全量？还是拒绝执行？建议默认加
AND 1=0或抛业务异常，防止误查全表拖垮数据库
