SQL Server中动态WHERE最稳妥做法是用IF判断NULL后拼接结构、sp_executesql参数化传值，并加OPTION(RECOMPILE)防参数嗅探；MySQL和PostgreSQL须用?或$1占位符配合USING绑定值，字段名必须白名单校验。
SQL Server 用 IF + sp_executesql 拼 WHERE 最稳
硬拼字符串不是问题，问题是拼完能不能复用执行计划、参数类型对不对、NULL 怎么处理。直接在 sp_executesql 里把所有条件写成 AND field = @param 并不可行——当 @param 是 NULL 时，这句就变成 AND field = NULL，永远不成立。
正确做法是每个条件独立判断是否追加：
IF @user_id IS NOT NULL SET @sql += ' AND user_id = @user_id'IF @status IS NOT NULL SET @sql += ' AND status = @status'- 所有参数必须显式声明类型，传给
sp_executesql时严格匹配，比如@user_id INT就不能传字符串'123' - 拼接前确保
@sql初始化为'SELECT * FROM orders WHERE 1=1'，每条AND前带空格，结尾不加多余空格 - 最后加
OPTION (RECOMPILE)，避免参数嗅探导致执行计划错配（尤其当某些参数常为空、某些几乎总非空时）
MySQL 动态 WHERE 必须用 ? 占位符 + EXECUTE USING
MySQL 的 PREPARE 不支持参数化字段名，也不接受变量列表传参，但能用 EXECUTE ... USING 绑定值——前提是所有 ? 占位符顺序和 USING 后变量顺序完全一致。
常见错误是把值直接拼进字符串：CONCAT(' AND name = ''', in_name, '''')，这既可能被注入（O'Connor），又会让优化器放弃索引（隐式转换或全表扫描）。
- 只拼结构，不拼值：用
IF in_name IS NOT NULL THEN SET @sql = CONCAT(@sql, ' AND name = ?'); - 按顺序收集非空参数：用
SET @params = CONCAT(@params, IF(in_name IS NOT NULL, '@name,', ''))，再EXECUTE stmt USING @name, @status; - 空字符串建议转
NULL处理，避免WHERE name = ''匹配到大量无效记录 - 字段名仍需白名单校验，不能由用户输入直接拼进
@sql
PostgreSQL 动态 WHERE 要用 format() + USING，字段名必须白名单
PostgreSQL 支持 EXECUTE ... USING 安全传值，但字段名不能参数化——EXECUTE 'SELECT * FROM t WHERE ' || in_field || ' = $1' USING in_value 是高危写法，等于开放 SQL 注入入口。
必须先限定合法字段范围，再拼结构：
- 用
CASE或IF显式映射：IF in_filter_type = 'status' THEN filter_sql := 'status = $1'; - 再用
format('SELECT * FROM orders WHERE %s', filter_sql)拼主语句 -
USING只传值，不传字段名、表名、操作符 - NULL 条件默认跳过，不生成子句；避免
COALESCE(in_status, status)这类表达式包裹字段，否则索引失效
WHERE 1=1 只是拼接拐杖，不是安全或性能保障
WHERE 1=1 的唯一作用是让后续所有条件都能统一用 AND 追加，省去判断“是不是第一个条件”的分支逻辑。但它本身不防注入、不保索引、不解决 NULL 判断问题。
真正关键的是分清「结构」和「数据」：
- 表名、字段名、操作符属于结构，必须白名单控制（如只允许
status、created_at、amount） - 查询值属于数据，必须走参数绑定（
sp_executesql/EXECUTE USING/ MyBatis<where></where>） - 拼接后生成的 SQL 字符串不要直接
SELECT出来调试，要实际执行并看执行计划里的Actual Rows和索引使用情况 - 字段上有函数（如
UPPER(name)）、模糊匹配（LIKE '%abc'）、或 OR 连接过多低区分度条件时，即使拼对了，也大概率退化成全表扫描
最易被忽略的一点：动态拼接后，不同参数组合产生的执行计划差异极大，OPTION (RECOMPILE) 或 EXECUTE ... WITH RECOMPILE 不是可选项，而是多数场景下的必要开关。
