Java中用PreparedStatement处理动态SQL的核心是避免字符串拼接，通过占位符“?”配合List或Map收集参数并按序绑定，结合WHERE 1=1安全起点、IN子句动态占位、LIKE预拼%等策略保障安全与可维护性。
Java 中使用 PreparedStatement 处理动态 SQL 查询条件，核心在于**避免拼接 SQL 字符串**，而是通过占位符（?）配合条件判断动态设置参数。关键不是“能不能拼 SQL”，而是“如何安全、清晰、可维护地构建带可选条件的查询”。
用 List 收集参数，按顺序绑定
动态条件意味着参数个数和顺序不确定，直接写死 setXXX(1, ...) 容易出错。推荐先用 List 按添加条件的顺序存参数值，SQL 字符串构建完成后再统一设置：
List<Object> params = new ArrayList<>();
StringBuilder sql = new StringBuilder("SELECT * FROM user WHERE 1=1");
<p>if (StringUtils.isNotBlank(username)) {
sql.append(" AND username = ?");
params.add(username);
}
if (age != null && age > 0) {
sql.append(" AND age = ?");
params.add(age);
}
if (status != null) {
sql.append(" AND status = ?");
params.add(status);
}</p><p>PreparedStatement ps = conn.prepareStatement(sql.toString());
for (int i = 0; i < params.size(); i++) {
Object val = params.get(i);
if (val instanceof String) {
ps.setString(i + 1, (String) val);
} else if (val instanceof Integer) {
ps.setInt(i + 1, (Integer) val);
} else if (val instanceof Byte) {
ps.setByte(i + 1, (Byte) val);
}
// 其他类型依此类推，或用 setObject 统一处理（需注意 JDBC 驱动兼容性）
}用 Map 记录参数名与值，适配命名参数风格（需工具辅助）
原生 PreparedStatement 不支持命名参数（如 :username），但你可以用 Map<String, Object> 管理参数，再借助轻量工具（如 Apache Commons DbUtils 的 QueryRunner 或自定义解析器）将命名 SQL 转为位置参数。例如：
Map<String, Object> paramMap = new HashMap<>();
String sql = "SELECT * FROM user WHERE 1=1";
if (username != null) {
sql += " AND username = :username";
paramMap.put("username", username);
}
if (status != null) {
sql += " AND status = :status";
paramMap.put("status", status);
}
<p>// 调用封装方法：parseNamedSql(sql, paramMap) → 返回 (标准SQL, List<Object>)
String finalSql = parseNamedSql(sql, paramMap);
PreparedStatement ps = conn.prepareStatement(finalSql);
setParameters(ps, paramMap); // 内部按 key 出现顺序设值
这种方式语义更清晰，适合条件较多、逻辑复杂的场景，但需自行实现或引入小工具类。
立即学习“Java免费学习笔记（深入）”；
WHERE 1=1 是安全起点，但要注意空条件边界
习惯在 SQL 开头加 WHERE 1=1 是为了方便后续用 AND 追加条件，避免判断是否要加 WHERE 关键字。但它本身无性能影响（优化器会忽略），也**不会导致全表扫描**。真正要小心的是：
- 所有条件都未命中时，SQL 变成
SELECT * FROM user WHERE 1=1—— 这是预期行为（查全部），若业务不允许，需额外校验params.isEmpty()并抛异常或返回空集合 - 对
IN子句等变长条件，不能简单用一个?，需动态生成多个?占位符，再逐个设置（如id IN (?, ?, ?)） - 模糊查询要用
LIKE+%value%，且%必须在 Java 层拼好传入，不要写在 SQL 字符串里（防止注入和索引失效）
避免常见陷阱：null 值、日期、IN 列表
动态条件中容易踩坑的几类值：
-
数据库字段允许 NULL：不要用
= ?判断，应改用IS NULL或IS NOT NULL，并跳过setXXX调用 -
日期范围：建议用
BETWEEN ? AND ?，两个参数分别设开始和结束时间；注意数据库时区和java.util.Date/LocalDateTime的转换（优先用setTimestamp或 JDBC 4.2+ 的setObject(i, LocalDateTime)） -
IN 条件：先确定列表大小，动态拼
(?, ?, ?, ...)，再循环调用setXXX。别试图用一个setArray（多数驱动不支持或行为不一致）
