如何在JPA的@Query原生查询中动态传递列名和表名？

首先明确：你写的这段代码没法正常运行。JPA的:column、:table这种参数绑定是用来处理SQL里的值参数（比如where age > :minAge），但表名、列名属于SQL的结构标识符，JPA会把它们当成字符串拼进SQL，最终会生成类似select 'username' from 'user'的语句，这显然不符合SQL语法，直接报错。

下面给你两种可行的实现方式：

方法1：用EntityManager手动拼SQL #

直接通过EntityManager创建原生查询，动态拼接表名和列名，但一定要先做参数校验，防止SQL注入：

@Repository
public class DynamicQueryRepo {

    @PersistenceContext
    private EntityManager entityManager;

    public List<String> getValues(String column, String table) {
        // 先校验表名、列名合法性，比如只允许白名单内的表
        checkValidTable(table);
        checkValidColumn(column);
        
        String sql = String.format("select %s from %s", column, table);
        return entityManager.createNativeQuery(sql).getResultList();
    }

    private void checkValidTable(String table) {
        List<String> allowedTables = Arrays.asList("user_info", "product_list");
        if (!allowedTables.contains(table)) {
            throw new IllegalArgumentException("非法表名");
        }
    }

    private void checkValidColumn(String column) {
        // 校验列名格式，只能是字母、数字、下划线
        if (!column.matches("[a-zA-Z0-9_]+")) {
            throw new IllegalArgumentException("非法列名");
        }
    }
}

方法2：Spring Data JPA结合SpEL表达式 #

如果想继续用@Query注解，可以通过SpEL表达式动态注入标识符，但同样必须加校验：

@Repository
public interface YourDataRepo extends JpaRepository<YourEntity, Long> {

    @Query(value = "select #{#column} from #{#table}", nativeQuery = true)
    List<String> getValues(@Param("column") String column, @Param("table") String table);

    // 对外暴露安全的方法，先校验再查询
    default List<String> getSafeValues(String column, String table) {
        checkValidTable(table);
        checkValidColumn(column);
        return getValues(column, table);
    }

    private void checkValidTable(String table) {
        List<String> allowedTables = Arrays.asList("user_info", "product_list");
        if (!allowedTables.contains(table)) {
            throw new IllegalArgumentException("非法表名");
        }
    }

    private void checkValidColumn(String column) {
        if (!column.matches("[a-zA-Z0-9_]+")) {
            throw new IllegalArgumentException("非法列名");
        }
    }
}

必须注意的点 #

• SQL注入风险：动态拼接表名、列名是高危操作，绝不能直接用用户传入的参数，一定要通过白名单或者格式校验过滤，避免恶意SQL注入。
• 数据库兼容性：不同数据库对标识符的处理不同，比如MySQL用反引号，Oracle用双引号，要是跨库的话得额外处理标识符的转义。

内容的提问来源于stack exchange，提问作者elesk