Spring Boot中Spring JPA动态多条件高级查询实现方案咨询

你的核心问题是：直接将动态拼接的SQL片段作为参数传入@Query时，JPA会对其进行字符串转义，导致无法作为SQL逻辑执行；同时直接拼接字段值还存在SQL注入风险，以下是几种安全且可行的实现方案：

方案1：使用JPA Specifications（Spring原生支持） #

这是Spring Data JPA原生提供的动态查询方案，完全避免SQL注入，类型安全。

步骤1：修改仓库接口 #

让你的仓库接口继承JpaSpecificationExecutor<TableEntity>：

public interface TableEntityRepository extends JpaRepository<TableEntity, Long>, JpaSpecificationExecutor<TableEntity> {
}

步骤2：编写动态条件构建逻辑 #

在服务层基于DTO构建Specification，通过CriteriaBuilder来拼接条件：

public List<TableEntity> advancedSearch(String user, SearchDTO dto) {
    return repository.findAll((root, query, cb) -> {
        // 基础条件：user = :user
        Predicate predicate = cb.equal(root.get("user"), user);
        
        // 拼接动态条件
        if (dto.getDate() != null) {
            predicate = cb.and(predicate, cb.equal(root.get("date"), dto.getDate()));
        }
        if (dto.getEmail() != null && !dto.getEmail().isEmpty()) {
            predicate = cb.and(predicate, cb.equal(root.get("email"), dto.getEmail()));
        }
        // 注意：int类型需根据业务判断有效阈值（比如默认0为无效值）
        if (dto.getTransactionNumber() != 0) {
            predicate = cb.and(predicate, cb.equal(root.get("transactionNumber"), dto.getTransactionNumber()));
        }
        
        return predicate;
    });
}

方案2：使用QueryDSL（更简洁的类型安全方案） #

QueryDSL提供了更直观的API来构建动态查询，代码可读性更高。

步骤1：引入依赖 #

Maven项目添加以下依赖：

<dependency>
    <groupId>com.querydsl</groupId>
    <artifactId>querydsl-jpa</artifactId>
</dependency>
<dependency>
    <groupId>com.querydsl</groupId>
    <artifactId>querydsl-apt</artifactId>
    <scope>provided</scope>
</dependency>

步骤2：修改仓库接口 #

继承QuerydslPredicateExecutor<TableEntity>：

public interface TableEntityRepository extends JpaRepository<TableEntity, Long>, QuerydslPredicateExecutor<TableEntity> {
}

步骤3：构建动态查询条件 #

使用BooleanBuilder拼接条件：

public List<TableEntity> advancedSearch(String user, SearchDTO dto) {
    QTableEntity qTable = QTableEntity.tableEntity;
    BooleanBuilder builder = new BooleanBuilder();
    
    // 基础条件
    builder.and(qTable.user.eq(user));
    
    // 动态条件
    if (dto.getDate() != null) {
        builder.and(qTable.date.eq(dto.getDate()));
    }
    if (dto.getEmail() != null && !dto.getEmail().isEmpty()) {
        builder.and(qTable.email.eq(dto.getEmail()));
    }
    if (dto.getTransactionNumber() != 0) {
        builder.and(qTable.transactionNumber.eq(dto.getTransactionNumber()));
    }
    
    return repository.findAll(builder);
}

注：QueryDSL会自动生成QTableEntity类，需确保IDE启用了APT注解处理器。

方案3：使用EntityManager构建动态原生查询（兼容复杂原生SQL场景） #

如果必须使用原生SQL，不要直接拼接字段值，而是通过参数绑定避免SQL注入：

@Autowired
private EntityManager entityManager;

public List<TableEntity> advancedSearch(String user, SearchDTO dto) {
    StringBuilder sql = new StringBuilder("SELECT * FROM table WHERE user = ?1");
    List<Object> params = new ArrayList<>();
    params.add(user);
    
    // 动态添加条件并绑定参数
    if (dto.getDate() != null) {
        sql.append(" AND date = ?").append(params.size() + 1);
        params.add(dto.getDate());
    }
    if (dto.getEmail() != null && !dto.getEmail().isEmpty()) {
        sql.append(" AND email = ?").append(params.size() + 1);
        params.add(dto.getEmail());
    }
    if (dto.getTransactionNumber() != 0) {
        sql.append(" AND transaction_number = ?").append(params.size() + 1);
        params.add(dto.getTransactionNumber());
    }
    
    Query query = entityManager.createNativeQuery(sql.toString(), TableEntity.class);
    for (int i = 0; i < params.size(); i++) {
        query.setParameter(i + 1, params.get(i));
    }
    
    return query.getResultList();
}

避坑提醒 #

• 禁止直接将用户输入的字段值拼接进SQL字符串，这会导致严重的SQL注入漏洞；
• 不要尝试通过@Query传入动态SQL片段，JPA的参数绑定机制会将其视为字符串值转义，无法作为SQL逻辑执行。

内容的提问来源于stack exchange，提问作者Jason Chan