SpringBoot JPA：如何将完整查询作为@Query注解的方法参数传递？

问题原因 #

你遇到的错误看似矛盾——传入的是标准SELECT语句，理论上应该返回结果集。实际问题出在Spring Data JPA处理SpEL直接注入完整SQL的逻辑上：当使用#{#query}注入整个SQL字符串时，框架可能没有正确识别这是查询语句，或是解析过程中出现隐性语法问题（比如字符串转义、意外字符插入），导致JDBC驱动误判为不产生结果集的语句。

可行解决方案 #

方案1：使用EntityManager执行动态SQL #

Spring Data JPA的@Query更适配静态/半静态查询，动态生成的完整SQL用EntityManager处理更可靠：

import jakarta.persistence.EntityManager;
import jakarta.persistence.PersistenceContext;
import jakarta.persistence.Query;
import org.springframework.stereotype.Repository;
import java.util.List;

@Repository
public class UserRepositoryCustomImpl implements UserRepositoryCustom {

    @PersistenceContext
    private EntityManager entityManager;

    @Override
    public List<User> findByQuery(String query) {
        Query nativeQuery = entityManager.createNativeQuery(query, User.class);
        return nativeQuery.getResultList();
    }
}

需要先定义自定义接口，让主Repository继承它：

import org.springframework.data.jpa.repository.JpaRepository;

public interface UserRepository extends JpaRepository<User, Long>, UserRepositoryCustom {
    // 其他Spring Data JPA方法
}

方案2：修正SpEL用法（不推荐生产环境） #

如果坚持用@Query，可尝试强制字符串解析避免框架误判，但此方式存在SQL注入风险，且支持不稳定：

@Query(value = "#{T(String).valueOf(#query)}", nativeQuery = true)
List<User> findByQuery(@Param("query") String query);

额外注意事项 #

动态SQL必须严格防范SQL注入：绝对不要直接拼接用户输入内容，改用EntityManager的参数绑定处理动态条件，示例：

public List<User> findPendingRegistrations(int limit) {
    String query = "SELECT * FROM registration WHERE APPROVED = ?1 ORDER BY RSID DESC LIMIT ?2";
    Query nativeQuery = entityManager.createNativeQuery(query, User.class);
    nativeQuery.setParameter(1, "pending");
    nativeQuery.setParameter(2, limit);
    return nativeQuery.getResultList();
}

内容的提问来源于stack exchange，提问作者Sinchan Nandy