Querydsl是否能够防范SQL注入？搜索无果及文档未提及后的求证

答案是肯定的——Querydsl 默认情况下具备很强的SQL注入防范能力，这其实是它基于ORM（比如JPA）或JDBC的设计特性决定的，下面给你拆解清楚：

• 参数化查询的底层逻辑：Querydsl不会直接把用户输入拼接成SQL字符串，而是会将用户输入作为参数传递给底层的JDBC驱动，生成带占位符的参数化SQL（比如SELECT * FROM user WHERE username = ?）。这种方式从根源上避免了注入，因为数据库会将参数视为纯数据，而不是SQL指令的一部分。
• 对比风险写法：如果是手动拼接SQL，比如String sql = "SELECT * FROM user WHERE username = '" + userInput + "'"，这就会存在注入漏洞；但用Querydsl的标准写法：

  QUser user = QUser.user;
  List<User> results = queryFactory.selectFrom(user)
      .where(user.username.eq(userInput))
      .fetch();
  

  这里的userInput会被自动处理成参数，完全安全。
• 官方文档未提及的原因：这其实是因为SQL注入防护是Querydsl依赖的底层技术（JPA、JDBC）的核心特性，Querydsl只是做了上层封装，官方可能默认开发者了解底层的参数化机制，所以没单独强调这个点。
• 需要注意的例外情况：如果你刻意使用了Querydsl的原生SQL片段功能（比如Expressions.stringTemplate("FUNCTION('LOWER', {0})", user.username)或者直接嵌入原生SQL），这时候如果手动拼接用户输入进去，还是会有注入风险——但这属于开发者的不当使用，不是Querydsl本身的问题。

总结一下：只要你遵循Querydsl的标准API编写查询，不用原生SQL硬拼用户输入，就完全不用担心SQL注入问题。

内容的提问来源于stack exchange，提问作者Tiago Vieira