如何在MuleSoft中基于动态输入参数创建动态SQL查询

问题场景 #

输入JSON结构如下：

{
    "supplier_id": "100",
    "supplier_name": "Microsoft",
    "city": [ "Redmond", "Mountain View", "Redwood City" ]
}

需要生成包含动态city数组的SQL查询，期望输出：

select id, name, city 
from db.supplier 
where id = '100' 
  and (city = 'Redmond' or city = 'Mountain View' or city = 'Redwood City')

此前尝试使用IN条件未生效，只能手动拼接OR条件，以下提供两种优化方案。

方案一：使用IN条件+参数绑定（推荐） #

MuleSoft的Database Connector支持参数化查询，可直接绑定数组类型参数到IN子句，避免SQL注入且语法正确。

步骤： #

1. 在Database Connector中编写参数化SQL：

select id, name, city 
from db.supplier 
where id = :supplier_id 
  and city in (:city)

2. 通过DataWeave映射输入参数：

%dw 2.0
output application/java
---
{
    supplier_id: payload.supplier_id,
    city: payload.city
}

Database Connector会自动将数组参数转换为IN子句所需的多个占位符（如city in (?, ?, ?)），并绑定对应值，解决之前IN条件失效的问题。

方案二：动态生成OR条件 #

若因特殊场景需使用OR拼接，需通过DataWeave动态生成条件，并做好SQL注入防护。

DataWeave示例： #

%dw 2.0
output application/java
// SQL注入防护：转义单引号
fun escapeSql(str: String) = str replace "'" with "''"
---
var cityConditions = payload.city map (city) -> "city = '$(escapeSql(city))'"
var whereClause = "id = '$(escapeSql(payload.supplier_id))' and (${cityConditions joinBy " or "})"
---
"select id, name, city from db.supplier where " ++ whereClause

将生成的SQL字符串传入Database Connector的动态SQL配置中即可。

注意事项 #

• 优先选择方案一的参数化查询，这是防止SQL注入的最佳实践，且避免手动拼接SQL的语法错误。
• 若使用方案二，必须对所有字符串参数做转义处理，避免注入风险。

内容的提问来源于stack exchange，提问作者Magda