Spring Boot中能否动态调用存储过程实现条件查询？

首先直接给结论：你想要直接动态修改@NamedNativeQuery中定义的查询条件字段是不可行的，而且这种做法也不符合JPA的设计规范。原因很简单——@NamedNativeQuery是一种静态元数据注解，它的属性值在编译阶段就已经确定，运行时无法动态变更。JPA的命名查询机制本身就是为了预定义、可复用的静态查询而设计的。

不过别担心，要实现你需要的“根据用户输入动态指定查询条件字段”的需求，有几种规范且可行的替代方案：

1. 使用EntityManager动态构建原生查询 #

这是最直接的方案，通过EntityManager手动拼接查询语句，同时做好安全校验避免SQL注入风险：

@Autowired
private EntityManager entityManager;

public List<Foo> getCustomFooByDynamicField(String fieldName, Object fieldValue) {
    // 第一步：校验字段名是否为Foo类的合法属性，防止恶意SQL注入
    Set<String> validFieldNames = Arrays.stream(Foo.class.getDeclaredFields())
                                       .map(Field::getName)
                                       .collect(Collectors.toSet());
    if (!validFieldNames.contains(fieldName)) {
        throw new IllegalArgumentException("不支持的查询字段：" + fieldName);
    }

    // 第二步：安全拼接查询语句
    String sql = String.format("select * from SP_FOO_CUSTOM where %s = ?", fieldName);
    Query query = entityManager.createNativeQuery(sql, Foo.class);
    query.setParameter(1, fieldValue);

    return query.getResultList();
}

这里的关键是白名单校验：只允许用户传入Foo实体类中存在的字段名，彻底杜绝SQL注入的可能——因为字段名无法通过参数化查询来处理，所以白名单是最安全的方式。

2. 使用Spring Data JPA的动态查询能力（如Specification） #

如果你的Foo是标准的JPA实体，也可以用Spring Data JPA的Specification来构建动态查询，这种方式更符合JPA的抽象风格，避免直接拼接SQL：

public List<Foo> getCustomFooByDynamicField(String fieldName, Object fieldValue) {
    Specification<Foo> spec = (root, query, cb) -> {
        // 同样先校验字段合法性
        Set<String> validFields = Arrays.stream(Foo.class.getDeclaredFields())
                                       .map(Field::getName)
                                       .collect(Collectors.toSet());
        if (!validFields.contains(fieldName)) {
            throw new IllegalArgumentException("不支持的查询字段：" + fieldName);
        }
        return cb.equal(root.get(fieldName), fieldValue);
    };
    return fooRepository.findAll(spec);
}

不过注意，这种方式只适用于JPA实体对应的表查询，如果SP_FOO_CUSTOM是存储过程而非普通表，那还是得回到第一种方案。

关于规范的补充说明 #

• 不要尝试通过反射等手段修改@NamedNativeQuery的属性：这种做法不仅破坏了JPA的契约，而且极易引发不可预期的问题（比如EntityManager缓存失效、事务异常等），完全不符合Java EE/Jakarta EE的规范。
• 动态查询的核心原则是安全优先：无论用哪种方案，都必须对用户输入的字段名做严格校验，绝对不能直接将用户输入拼接进SQL语句，否则会面临严重的SQL注入风险。

内容的提问来源于stack exchange，提问作者gfg007