Angular传递自定义CASE排序规则至Spring Boot分页查询问题

问题背景 #

• 前端 Angular 通过 params.append('sort', matSort.active + ',' + matSort.direction) 实现排序，需要对返回DTO实体中不存在的字段执行自定义排序（如 ORDER BY CASE WHEN exID = 2 THEN 0 ELSE 1 END）。
• 后端 Spring Boot 仓库方法使用 nativeQuery，尝试 JpaSort.unsafe 时出现语法错误：生成的SQL会自动在CASE前添加表前缀（如 te.），导致SQL执行失败。

可行解决方案（无需硬写nativeQuery） #

方案一：自定义排序参数解析+安全拼接ORDER BY片段 #

前端调整

传递预定义的排序标识，而非直接传递CASE语句，避免SQL注入风险：

// Angular 代码示例
if (matSort.active === 'customExid') {
  params.append('sort', 'custom_exid,' + matSort.direction);
} else {
  params.append('sort', matSort.active + ',' + matSort.direction);
}

后端实现

通过自定义仓库逻辑解析排序参数，动态生成安全的ORDER BY片段：

// 基础仓库接口
@Repository
public interface YourRepository extends JpaRepository<YourEntity, Long>, YourRepositoryCustom {
}

// 自定义仓库实现类
public class YourRepositoryImpl implements YourRepositoryCustom {
    @PersistenceContext
    private EntityManager em;

    public List<YourDTO> findWithCustomSort(String sortParam) {
        String orderByClause = buildSafeOrderBy(sortParam);
        // 这里的基础SQL仅保留查询逻辑，ORDER BY通过动态拼接
        Query query = em.createNativeQuery(
            "SELECT te.id, te.ex_id, te.name FROM your_table te " + orderByClause,
            YourDTO.class
        );
        return query.getResultList();
    }

    // 白名单校验+动态生成ORDER BY，彻底避免SQL注入
    private String buildSafeOrderBy(String sortParam) {
        if (sortParam == null || sortParam.isEmpty()) {
            return "ORDER BY te.id ASC";
        }
        String[] parts = sortParam.split(",");
        String sortKey = parts[0];
        String direction = parts.length > 1 ? parts[1].toUpperCase() : "ASC";

        return switch (sortKey) {
            case "custom_exid" -> String.format("ORDER BY CASE WHEN te.ex_id = 2 THEN 0 ELSE 1 END %s", direction);
            case "name" -> String.format("ORDER BY te.name %s", direction);
            default -> "ORDER BY te.id ASC";
        };
    }
}

方案二：使用Specification动态构建排序规则 #

利用JPA的Criteria API构建自定义排序，完全避免手动拼接SQL：

// 业务层方法示例
public List<YourDTO> queryWithCustomSort(String sortParam) {
    Sort sort = buildCustomSort(sortParam);
    return yourRepository.findAll((root, query, cb) -> cb.conjunction(), sort);
}

// 构建自定义Sort对象
private Sort buildCustomSort(String sortParam) {
    if (sortParam == null || sortParam.isEmpty()) {
        return Sort.by(Sort.Direction.ASC, "id");
    }
    String[] parts = sortParam.split(",");
    String sortKey = parts[0];
    Sort.Direction direction = parts.length > 1 ? Sort.Direction.fromString(parts[1]) : Sort.Direction.ASC;

    if ("custom_exid".equals(sortKey)) {
        // 通过自定义Order类生成CASE排序逻辑
        return Sort.by(direction, new Order() {
            @Override
            public String toSql(CriteriaQuery<?> query, CriteriaBuilder cb) {
                Root<YourEntity> root = (Root<YourEntity>) query.getRoots().iterator().next();
                Expression<Integer> caseExpr = cb.selectCase()
                        .when(cb.equal(root.get("exId"), 2), 0)
                        .otherwise(1);
                return cb.toSqlString(caseExpr) + " " + direction.name();
            }

            // 实现Order接口的默认方法
            @Override public Direction getDirection() { return direction; }
            @Override public String getProperty() { return "custom_exid"; }
            @Override public boolean isIgnoreCase() { return false; }
            @Override public NullHandling getNullHandling() { return NullHandling.NATIVE; }
            @Override public Order ignoreCase() { return this; }
            @Override public Order with(Direction direction) { return this; }
            @Override public Order with(NullHandling nullHandling) { return this; }
            @Override public String toString() { return getProperty() + ":" + direction; }
        });
    } else {
        return Sort.by(direction, sortKey);
    }
}

关键注意事项 #

• SQL注入防护：必须通过白名单校验排序参数，或使用JPA API动态构建，绝对禁止直接拼接前端传入的任意字符串。
• DTO映射：使用nativeQuery返回DTO时，需通过@SqlResultSetMapping或@ConstructorResult确保结果正确映射。

内容的提问来源于stack exchange，提问作者lys_18