PreparedStatement通过占位符动态预留与条件过滤构建实现安全查询，SQL主干固定、为每个条件预留?，用AND 1=1及(? IS NULL OR column = ?)保持语法合法，按?顺序绑定非空参数，并推荐QueryBuilder封装逻辑。
PreparedStatement 本身不支持直接拼接 SQL 字符串，但可以通过“占位符动态预留 + 条件过滤构建”方式安全处理不固定条件的查询。核心思路是：SQL 主干结构提前写好，只对可能存在的条件预留 ? 占位符；实际执行前，根据参数是否存在决定是否设置该参数，并同步跳过未启用的占位符。
构造可扩展的 SQL 模板
避免字符串拼接 WHERE 子句，而是为每个可能的条件都预留一个占位符，并用逻辑短路（如 AND 1=1 或 AND (? IS NULL OR column = ?)）保持语法合法。例如：
SELECT * FROM user WHERE 1=1AND (? IS NULL OR name = ?)
AND (? IS NULL OR age >= ?)
AND (? IS NULL OR status = ?)
这样无论参数是否传入，SQL 结构不变，PreparedStatement 可复用，也防止 SQL 注入。
按顺序绑定非空参数
PreparedStatement 的 setXxx(int index, ...) 方法依赖参数位置。需严格按 SQL 中 ? 出现顺序，只对实际使用的条件调用 set 方法。常见做法是：
立即学习“Java免费学习笔记（深入）”；
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
- 用 List 存储有效参数值
- 遍历查询条件，若值非空/有效，则添加进列表并记录对应字段
- 执行前循环 list，用 ps.setString(i+1, value) 绑定
注意：索引从 1 开始，且必须与 SQL 中 ? 的顺序完全一致——不能因为某个条件跳过就少设一个，否则会错位。
用对象封装条件 + 构建器模式简化调用
将查询条件抽象为 POJO（如 UserQuery），再配合 QueryBuilder 类生成 SQL 和参数列表。例如：
String sql = new QueryBuilder().addIfNotNull("name = ?", query.getName())
.addIfGte("age", query.getAge())
.build("SELECT * FROM user WHERE 1=1");
List
QueryBuilder 内部维护 StringBuilder 和 ArrayList，保证 SQL 和参数始终同步，业务层无需关心占位符顺序。
慎用“全条件 OR”写法
类似 WHERE (? IS NULL OR name = ?) AND (? IS NULL OR age = ?) 是安全的，但若写成 WHERE name = ? OR ? IS NULL，会导致数据库无法使用索引（尤其在 MySQL 中）。更严重的是，当多个条件都为 NULL 时，可能意外查出全表数据。建议优先用 1=1 + 动态 AND 模式，或用数据库支持的 CASE WHEN 做条件屏蔽。
