用StringBuilder拼接SQL的核心是逻辑组织、防注入与易维护：按语法顺序分段拼接，字段表名加反引号，WHERE用布尔标记或列表收集法，IN子句动态生成占位符并空值处理，复杂查询拆分为私有方法，动态值必须参数化。
用 StringBuilder 拼接复杂 SQL 查询语句，核心不是“怎么连字符”，而是“怎么组织逻辑、防错、防注入、易维护”。直接拼字符串容易出语法错误、SQL 注入、空条件崩溃等问题；而 StringBuilder 是工具，关键在用法设计。
按 SQL 语法顺序分段拼接
从 SELECT 开始，逐块追加，每部分职责清晰：
- 先 append("SELECT ")，字段名用反引号包裹（如 `user_id`），避免关键字冲突
- 字段之间用 ", " 连接，注意末尾逗号要清理（可用 setLength() 截断，或用 StringJoiner 替代）
- 接着 append(" FROM ").append("`orders`")，表名也加反引号
- JOIN 部分可封装成独立方法，比如 appendJoinClause(sb, needDetail) —— 条件明确，复用方便
动态 WHERE 条件：用布尔标志或条件收集法
避免硬写 "AND" 导致开头多 AND 或漏 WHERE。两种稳妥做法：
- 布尔标记法：声明 boolean hasWhere = false；每个条件前判断 —— 首个条件 append(" WHERE ") 并置 true，后续都 append(" AND ")
- 列表收集法（更推荐）：把所有非空条件字符串存入 List<String>，最后用 StringBuilder 循环拼接，首次不加 AND，后续每项前 append(" AND ") —— 无需 substring，逻辑干净
IN 子句和批量参数：只拼结构，不拼值
IN (?, ?, ?) 这类动态长度部分，重点是生成正确数量的占位符：
deep-java-review
下载
Java项目代码review工具。分析Git变更+完整调用链路上下文，推断业务需求，进行多维度评分和分类汇总，生成完整PRD文档。包含细粒度Java代码审查清单（Null安全、异常处理、Streams、并发、equals/hashCode、资源管理、API设计、性能、MyBatis/ORM、事务边界、SQL/DD...
立即学习“Java免费学习笔记（深入）”；
- 先 append("`status_id` IN (")
- 遍历 ids 列表，每次 append("?")，非末尾再 append(", ")
- 最后 append(")")
- 若集合为空，不能生成 IN ()，应改为 "1=0" 或跳过该条件，防止语法报错
- 真实值必须通过 PreparedStatement#setXxx() 按顺序设置，绝不可拼进字符串
提升可读性与可维护性
复杂查询别堆在一个方法里：
- 把 SELECT 字段、WHERE 逻辑、ORDER BY、LIMIT 分拆为私有方法，每个接收 StringBuilder 参数
- 主方法只负责调用顺序，例如：appendSelect(sb, includeExtra) → appendWhere(sb, filters) → appendOrderBy(sb, sortField)
- 初始化容量（如 new StringBuilder(512)），减少扩容开销；拼完立刻 toString() 存变量，避免重复调用
不复杂但容易忽略细节：永远区分静态结构（可拼）和动态值（必须参数化）。拼出来的 SQL 只用于 PreparedStatement#executeQuery()，值全靠 set 方法传入 —— 这是防注入的底线。
