1. MyBatis动态SQL核心价值解析在数据持久层开发中动态SQL是应对复杂业务查询的利器。传统JDBC开发中我们经常需要拼接大量条件判断的SQL字符串既容易出错又难以维护。MyBatis通过OGNL表达式和智能标签体系将这种动态性以声明式的方式优雅解决。我经历过一个电商后台管理系统改造项目商品筛选功能原先包含17个可选的查询条件代码中充斥着if-else和StringBuilder拼接。迁移到MyBatis动态SQL后XML配置的可读性提升明显更重要的是彻底解决了SQL注入风险。下面这个典型的多条件查询示例展示了动态SQL的直观优势select idselectProducts resultTypeProduct SELECT * FROM products where if testcategoryId ! null AND category_id #{categoryId} /if if testminPrice ! null AND price #{minPrice} /if if testkeywords ! null and keywords ! AND name LIKE CONCAT(%,#{keywords},%) /if /where ORDER BY create_time DESC /select2. 核心标签库深度剖析2.1 条件控制标签组标签的test属性支持完整的OGNL表达式在实际使用中有几个高阶技巧嵌套属性判断testuser.address.city Beijing集合操作testids.contains(itemId)数学运算testprice * discount 100/ /组合实现了类似Java中的switch-case逻辑。在订单状态查询场景特别实用select idselectOrders resultTypeOrder SELECT * FROM orders where choose when teststatus paid AND pay_status 1 AND create_time #{startDate} /when when teststatus shipped AND shipping_status 1 /when otherwise AND cancel_flag 0 /otherwise /choose /where /select2.2 循环迭代标签标签在处理IN查询时表现出色但需要注意collection属性支持数组、List、Set等多种集合类型大数据量分批次处理当IN条件超过1000个项时应考虑分批查询索引访问通过_index获取当前迭代位置从0开始批量插入的经典用法insert idbatchInsert INSERT INTO users(name, age) VALUES foreach collectionlist itemuser separator, (#{user.name}, #{user.age}) /foreach /insert2.3 结构化标签标签的智能处理机制自动删除首个AND/OR当所有条件不满足时不会生成WHERE关键字与 配合使用时注意条件间的逻辑关系标签在update语句中能自动处理逗号问题但在动态字段全为空时会导致SQL语法错误。解决方案update idupdateUser UPDATE users set if testname ! nullname#{name},/if if testage ! nullage#{age},/if version version 1 !-- 保证至少有一个set字段 -- /set WHERE id#{id} /update3. 防注入机制与参数处理3.1 预编译原理剖析MyBatis的防注入能力源于JDBC的PreparedStatement机制。当使用#{}语法时参数会被转换为预编译的占位符。对比以下两种写法// 危险写法拼接SQL Select(SELECT * FROM users WHERE name ${name}) ListUser findByName(Param(name) String name); // 安全写法参数化查询 Select(SELECT * FROM users WHERE name #{name}) ListUser findByNameSafe(Param(name) String name);在日志中可以看到实际执行的SQL${}方式SELECT * FROM users WHERE name admin OR 11#{}方式SELECT * FROM users WHERE name ?(参数值单独传递)3.2 动态SQL安全实践即使使用动态SQL也要注意永远优先使用#{}除非有特殊需求必须使用${}时如动态表名应进行白名单校验复杂表达式应在前置服务层校验不依赖XML中的判断安全改造示例!-- 不安全的动态排序 -- select idfindUsers resultTypeUser SELECT * FROM users ORDER BY ${sortField} ${sortOrder} /select !-- 改造后的安全版本 -- select idfindUsersSafe resultTypeUser SELECT * FROM users choose when testsortField name and sortOrder desc ORDER BY name DESC /when when testsortField createTime ORDER BY create_time ${sortOrder} /when otherwise ORDER BY id ASC /otherwise /choose /select4. 高级技巧与性能优化4.1 SQL片段复用通过sql和include实现代码复用时建议按功能模块组织片段文件片段应保持适度粒度不宜过大传递参数增强灵活性!-- 定义可复用的列名片段 -- sql iduserColumns ${alias}.id, ${alias}.name, ${alias}.email /sql !-- 使用片段 -- select idselectUsers resultTypeUser SELECT include refiduserColumns property namealias valueu/ /include FROM users u /select4.2 批处理优化结合ExecutorType.BATCH提升批量操作性能try (SqlSession session sqlSessionFactory.openSession(ExecutorType.BATCH)) { UserMapper mapper session.getMapper(UserMapper.class); for (int i 0; i 1000; i) { mapper.insert(new User(user i, i % 30)); if (i % 200 0) { session.flushStatements(); // 分批提交 } } session.commit(); }配合动态SQL实现UPSERT操作insert idupsertUser INSERT INTO users(id, name, age) VALUES(#{id}, #{name}, #{age}) ON DUPLICATE KEY UPDATE name VALUES(name), age VALUES(age), update_time NOW() /insert4.3 复杂条件处理对于多层嵌套的动态条件建议使用trim标签精细控制SQL片段复杂逻辑拆分为多个查询方法使用注解Provider实现动态SQLselect idsearchProducts resultTypeProduct SELECT * FROM products trim prefixWHERE prefixOverridesAND|OR if testcategoryIds ! null AND category_id IN foreach collectioncategoryIds itemcid open( separator, close) #{cid} /foreach /if if testpriceRange ! null AND price BETWEEN #{priceRange.min} AND #{priceRange.max} /if /trim /select5. 实战问题排查手册5.1 常见异常处理问题1动态SQL条件全为空导致语法错误现象生成的SQL包含空的WHERE或SET子句解决方案添加保底条件或使用where,set标签问题2特殊符号转义问题场景XML中的,等符号被解析解决使用CDATA段包裹或实体转义select idfindByContent SELECT * FROM articles WHERE content LIKE CONCAT(%, ![CDATA[]], #{tag}, ![CDATA[]], %) /select5.2 性能监控建议开启MyBatis日志查看实际执行SQL使用拦截器统计SQL执行时间复杂动态SQL应进行执行计划分析日志配置示例# 显示执行的SQL及参数 logging.level.org.mybatisDEBUG # 显示SQL执行时间需自定义拦截器 mybatis.configuration.log-implorg.apache.ibatis.logging.stdout.StdOutImpl5.3 单元测试策略动态SQL应重点测试各条件分支的覆盖边界值情况空集合、null值等大数据量下的性能表使用内存数据库测试示例Test public void testDynamicQuery() { try (SqlSession session sqlSessionFactory.openSession()) { UserMapper mapper session.getMapper(UserMapper.class); // 测试空条件 ListUser all mapper.searchUsers(new UserQuery()); assertEquals(50, all.size()); // 测试单条件 UserQuery query new UserQuery(); query.setName(admin); ListUser result mapper.searchUsers(query); assertEquals(1, result.size()); } }在大型金融项目中我们建立了动态SQL的自动化测试体系通过参数组合生成器确保所有OGNL表达式分支都被覆盖这使得线上SQL相关问题减少了80%以上。 
长河君 · 2026/11/5 5:43:54 · 阅读 1.2k MyBatis动态SQL核心技术与安全实践指南
1. MyBatis动态SQL核心价值解析在数据持久层开发中动态SQL是应对复杂业务查询的利器。传统JDBC开发中我们经常需要拼接大量条件判断的SQL字符串既容易出错又难以维护。MyBatis通过OGNL表达式和智能标签体系将这种动态性以声明式的方式优雅解决。我经历过一个电商后台管理系统改造项目商品筛选功能原先包含17个可选的查询条件代码中充斥着if-else和StringBuilder拼接。迁移到MyBatis动态SQL后XML配置的可读性提升明显更重要的是彻底解决了SQL注入风险。下面这个典型的多条件查询示例展示了动态SQL的直观优势select idselectProducts resultTypeProduct SELECT * FROM products where if testcategoryId ! null AND category_id #{categoryId} /if if testminPrice ! null AND price #{minPrice} /if if testkeywords ! null and keywords ! AND name LIKE CONCAT(%,#{keywords},%) /if /where ORDER BY create_time DESC /select2. 核心标签库深度剖析2.1 条件控制标签组标签的test属性支持完整的OGNL表达式在实际使用中有几个高阶技巧嵌套属性判断testuser.address.city Beijing集合操作testids.contains(itemId)数学运算testprice * discount 100/ /组合实现了类似Java中的switch-case逻辑。在订单状态查询场景特别实用select idselectOrders resultTypeOrder SELECT * FROM orders where choose when teststatus paid AND pay_status 1 AND create_time #{startDate} /when when teststatus shipped AND shipping_status 1 /when otherwise AND cancel_flag 0 /otherwise /choose /where /select2.2 循环迭代标签标签在处理IN查询时表现出色但需要注意collection属性支持数组、List、Set等多种集合类型大数据量分批次处理当IN条件超过1000个项时应考虑分批查询索引访问通过_index获取当前迭代位置从0开始批量插入的经典用法insert idbatchInsert INSERT INTO users(name, age) VALUES foreach collectionlist itemuser separator, (#{user.name}, #{user.age}) /foreach /insert2.3 结构化标签标签的智能处理机制自动删除首个AND/OR当所有条件不满足时不会生成WHERE关键字与 配合使用时注意条件间的逻辑关系标签在update语句中能自动处理逗号问题但在动态字段全为空时会导致SQL语法错误。解决方案update idupdateUser UPDATE users set if testname ! nullname#{name},/if if testage ! nullage#{age},/if version version 1 !-- 保证至少有一个set字段 -- /set WHERE id#{id} /update3. 防注入机制与参数处理3.1 预编译原理剖析MyBatis的防注入能力源于JDBC的PreparedStatement机制。当使用#{}语法时参数会被转换为预编译的占位符。对比以下两种写法// 危险写法拼接SQL Select(SELECT * FROM users WHERE name ${name}) ListUser findByName(Param(name) String name); // 安全写法参数化查询 Select(SELECT * FROM users WHERE name #{name}) ListUser findByNameSafe(Param(name) String name);在日志中可以看到实际执行的SQL${}方式SELECT * FROM users WHERE name admin OR 11#{}方式SELECT * FROM users WHERE name ?(参数值单独传递)3.2 动态SQL安全实践即使使用动态SQL也要注意永远优先使用#{}除非有特殊需求必须使用${}时如动态表名应进行白名单校验复杂表达式应在前置服务层校验不依赖XML中的判断安全改造示例!-- 不安全的动态排序 -- select idfindUsers resultTypeUser SELECT * FROM users ORDER BY ${sortField} ${sortOrder} /select !-- 改造后的安全版本 -- select idfindUsersSafe resultTypeUser SELECT * FROM users choose when testsortField name and sortOrder desc ORDER BY name DESC /when when testsortField createTime ORDER BY create_time ${sortOrder} /when otherwise ORDER BY id ASC /otherwise /choose /select4. 高级技巧与性能优化4.1 SQL片段复用通过sql和include实现代码复用时建议按功能模块组织片段文件片段应保持适度粒度不宜过大传递参数增强灵活性!-- 定义可复用的列名片段 -- sql iduserColumns ${alias}.id, ${alias}.name, ${alias}.email /sql !-- 使用片段 -- select idselectUsers resultTypeUser SELECT include refiduserColumns property namealias valueu/ /include FROM users u /select4.2 批处理优化结合ExecutorType.BATCH提升批量操作性能try (SqlSession session sqlSessionFactory.openSession(ExecutorType.BATCH)) { UserMapper mapper session.getMapper(UserMapper.class); for (int i 0; i 1000; i) { mapper.insert(new User(user i, i % 30)); if (i % 200 0) { session.flushStatements(); // 分批提交 } } session.commit(); }配合动态SQL实现UPSERT操作insert idupsertUser INSERT INTO users(id, name, age) VALUES(#{id}, #{name}, #{age}) ON DUPLICATE KEY UPDATE name VALUES(name), age VALUES(age), update_time NOW() /insert4.3 复杂条件处理对于多层嵌套的动态条件建议使用trim标签精细控制SQL片段复杂逻辑拆分为多个查询方法使用注解Provider实现动态SQLselect idsearchProducts resultTypeProduct SELECT * FROM products trim prefixWHERE prefixOverridesAND|OR if testcategoryIds ! null AND category_id IN foreach collectioncategoryIds itemcid open( separator, close) #{cid} /foreach /if if testpriceRange ! null AND price BETWEEN #{priceRange.min} AND #{priceRange.max} /if /trim /select5. 实战问题排查手册5.1 常见异常处理问题1动态SQL条件全为空导致语法错误现象生成的SQL包含空的WHERE或SET子句解决方案添加保底条件或使用where,set标签问题2特殊符号转义问题场景XML中的,等符号被解析解决使用CDATA段包裹或实体转义select idfindByContent SELECT * FROM articles WHERE content LIKE CONCAT(%, ![CDATA[]], #{tag}, ![CDATA[]], %) /select5.2 性能监控建议开启MyBatis日志查看实际执行SQL使用拦截器统计SQL执行时间复杂动态SQL应进行执行计划分析日志配置示例# 显示执行的SQL及参数 logging.level.org.mybatisDEBUG # 显示SQL执行时间需自定义拦截器 mybatis.configuration.log-implorg.apache.ibatis.logging.stdout.StdOutImpl5.3 单元测试策略动态SQL应重点测试各条件分支的覆盖边界值情况空集合、null值等大数据量下的性能表使用内存数据库测试示例Test public void testDynamicQuery() { try (SqlSession session sqlSessionFactory.openSession()) { UserMapper mapper session.getMapper(UserMapper.class); // 测试空条件 ListUser all mapper.searchUsers(new UserQuery()); assertEquals(50, all.size()); // 测试单条件 UserQuery query new UserQuery(); query.setName(admin); ListUser result mapper.searchUsers(query); assertEquals(1, result.size()); } }在大型金融项目中我们建立了动态SQL的自动化测试体系通过参数组合生成器确保所有OGNL表达式分支都被覆盖这使得线上SQL相关问题减少了80%以上。