MySQL 8.0.12存储过程逻辑错误：多条件拼接未生效问题排查

结合你描述的场景（传入两个非空参数但仅spsID条件生效），以下是几种最可能的问题及对应的修复方案：

1. 条件判断逻辑写反 #

最常见的错误是判断参数是否需要拼接时，把IS NOT NULL写成了IS NULL，导致spsName的条件根本不会被加入SQL。

错误代码示例：

DELIMITER //
CREATE PROCEDURE sp_test(IN spsID VARCHAR(20), IN spsName VARCHAR(50))
BEGIN
    SET @sql = 'SELECT * FROM your_table WHERE 1=1';
    -- 正确判断spsID非空
    IF spsID IS NOT NULL THEN
        SET @sql = CONCAT(@sql, ' AND spsID = ''', spsID, '''');
    END IF;
    -- 错误：判断条件写反，spsName非空时跳过拼接
    IF spsName IS NULL THEN
        SET @sql = CONCAT(@sql, ' AND spsName = ''', spsName, '''');
    END IF;
    PREPARE stmt FROM @sql;
    EXECUTE stmt;
    DEALLOCATE PREPARE stmt;
END //
DELIMITER ;

修复：将spsName的判断条件改为IF spsName IS NOT NULL THEN，确保非空参数触发条件拼接。

2. 字符串拼接时覆盖原有SQL #

如果拼接spsName条件时，直接给变量赋值而不是追加到原有SQL后，会覆盖之前包含spsID的语句；若spsName的拼接逻辑未触发（比如判断条件错误），则最终只保留spsID的条件。

错误代码示例：

-- 错误：直接赋值覆盖原有SQL，而非追加
IF spsName IS NOT NULL THEN
    SET @sql = CONCAT(' AND spsName = ''', spsName, '''');
END IF;

修复：拼接时保留原有SQL内容，使用SET @sql = CONCAT(@sql, ' AND spsName = ''', spsName, '''')。

3. 局部变量覆盖传入参数 #

如果存储过程内部声明了和参数同名的局部变量，会导致判断时使用的是空的局部变量，而非传入的参数值，从而跳过spsName的条件拼接。

错误代码示例：

DELIMITER //
CREATE PROCEDURE sp_test(IN spsID VARCHAR(20), IN spsName VARCHAR(50))
BEGIN
    DECLARE sql_str VARCHAR(1000);
    DECLARE spsName VARCHAR(50); -- 错误：局部变量覆盖传入的参数
    SET sql_str = 'SELECT * FROM your_table WHERE 1=1';
    IF spsID IS NOT NULL THEN
        SET sql_str = CONCAT(sql_str, ' AND spsID = ''', spsID, '''');
    END IF;
    -- 此处的spsName是局部变量，值为空，因此不拼接条件
    IF spsName IS NOT NULL THEN
        SET sql_str = CONCAT(sql_str, ' AND spsName = ''', spsName, '''');
    END IF;
    PREPARE stmt FROM sql_str;
    EXECUTE stmt;
    DEALLOCATE PREPARE stmt;
END //
DELIMITER ;

修复：删除重复声明的同名局部变量，确保使用的是传入的参数值。

4. 未处理空字符串参数 #

如果传入的spsName是空字符串（而非NULL），IS NOT NULL判断会成立，但拼接后的条件是AND spsName = ''；若你的需求是空字符串时不拼接条件，就需要额外判断参数是否为非空字符串。

错误代码示例：

-- 仅判断非NULL，空字符串也会被拼接
IF spsName IS NOT NULL THEN
    SET @sql = CONCAT(@sql, ' AND spsName = ''', spsName, '''');
END IF;

修复：修改判断条件为IF spsName IS NOT NULL AND spsName != '' THEN，过滤空字符串的情况。

额外提示：避免SQL注入风险 #

你当前的字符串拼接方式存在SQL注入漏洞，建议改用参数化查询的方式拼接条件，示例如下：

DELIMITER //
CREATE PROCEDURE sp_test(IN spsID VARCHAR(20), IN spsName VARCHAR(50))
BEGIN
    SET @sql = 'SELECT * FROM your_table WHERE 1=1';
    SET @spsID = spsID;
    SET @spsName = spsName;
    
    IF spsID IS NOT NULL AND spsID != '' THEN
        SET @sql = CONCAT(@sql, ' AND spsID = ?');
    END IF;
    IF spsName IS NOT NULL AND spsName != '' THEN
        SET @sql = CONCAT(@sql, ' AND spsName = ?');
    END IF;
    
    PREPARE stmt FROM @sql;
    -- 根据参数情况传递对应的值
    IF spsID IS NOT NULL AND spsID != '' AND spsName IS NOT NULL AND spsName != '' THEN
        EXECUTE stmt USING @spsID, @spsName;
    ELSEIF spsID IS NOT NULL AND spsID != '' THEN
        EXECUTE stmt USING @spsID;
    ELSEIF spsName IS NOT NULL AND spsName != '' THEN
        EXECUTE stmt USING @spsName;
    ELSE
        EXECUTE stmt;
    END IF;
    
    DEALLOCATE PREPARE stmt;
END //
DELIMITER ;

内容的提问来源于stack exchange，提问作者George A. Custer