如何在JPA原生查询的IN子句中绑定对象成员参数

问题背景 #

现有原生SQL查询如下：

SELECT *
FROM data_table
WHERE field_one = '1000'
  AND (field_two, field_three, field_four) IN (('70033100', '0090047002', 'CAT'), ('70033100', '0004712', 'SAT'), ('70031337', '0233263', 'DAT'), ('70033100', '0090000001', 'CAT'))
  AND field_type IN ('TYPE_1', 'TYPE_2')
  AND date <= '2022-09-17'

对应的JPA实体类：

class Entity {
    String field_one;
    String field_two;
    String field_three;
    String field_four;
    LocalDate date;
    String field_type;
}

已知单字段IN子句可通过:list绑定列表参数，但需实现多字段组合IN的参数绑定方式。

解决方案 #

方法1：自定义DTO传递组合参数（推荐） #

先创建包含目标组合字段的DTO类，用于封装每组字段值：

public class FieldCombination {
    private String fieldTwo;
    private String fieldThree;
    private String fieldFour;

    // 带参构造器，按字段顺序传入值
    public FieldCombination(String fieldTwo, String fieldThree, String fieldFour) {
        this.fieldTwo = fieldTwo;
        this.fieldThree = fieldThree;
        this.fieldFour = fieldFour;
    }

    // 必须提供getter方法，JPA需要通过getter读取参数值
    public String getFieldTwo() { return fieldTwo; }
    public String getFieldThree() { return fieldThree; }
    public String getFieldFour() { return fieldFour; }
}

在Repository接口中编写原生查询，绑定DTO列表参数：

@Query(nativeQuery = true, value = """
    SELECT * FROM data_table
    WHERE field_one = :fieldOne
      AND (field_two, field_three, field_four) IN (:combinations)
      AND field_type IN (:fieldTypes)
      AND date <= :maxDate
""")
List<Entity> findByCombination(
    @Param("fieldOne") String fieldOne,
    @Param("combinations") List<FieldCombination> combinations,
    @Param("fieldTypes") List<String> fieldTypes,
    @Param("maxDate") LocalDate maxDate
);

说明：该方式要求JPA提供者（如Hibernate 5.2+）支持复合类型参数绑定，底层会自动将DTO列表转换为SQL所需的多值元组集合，无SQL注入风险。

方法2：使用Tuple传递组合参数（无需自定义DTO） #

直接使用JPA的Tuple类封装每组字段值，无需额外创建DTO：

@Query(nativeQuery = true, value = """
    SELECT * FROM data_table
    WHERE field_one = :fieldOne
      AND (field_two, field_three, field_four) IN (:combinations)
      AND field_type IN (:fieldTypes)
      AND date <= :maxDate
""")
List<Entity> findByCombination(
    @Param("fieldOne") String fieldOne,
    @Param("combinations") List<Tuple> combinations,
    @Param("fieldTypes") List<String> fieldTypes,
    @Param("maxDate") LocalDate maxDate
);

调用时按字段顺序构造Tuple：

List<Tuple> combinations = new ArrayList<>();
combinations.add(Tuple.tuple("70033100", "0090047002", "CAT"));
combinations.add(Tuple.tuple("70033100", "0004712", "SAT"));
// 添加其他组合

说明：需严格保证Tuple中元素顺序与查询的字段顺序一致，同样依赖JPA提供者的复合参数支持。

方法3：手动拼接元组字符串（不推荐） #

若JPA版本过低不支持复合参数，可临时手动拼接IN子句的元组字符串，但必须严格校验参数防止SQL注入：

@Query(nativeQuery = true, value = """
    SELECT * FROM data_table
    WHERE field_one = :fieldOne
      AND (field_two, field_three, field_four) IN (:combinationStrings)
      AND field_type IN (:fieldTypes)
      AND date <= :maxDate
""")
List<Entity> findByCombination(
    @Param("fieldOne") String fieldOne,
    @Param("combinationStrings") List<String> combinationStrings,
    @Param("fieldTypes") List<String> fieldTypes,
    @Param("maxDate") LocalDate maxDate
);

调用时将每组字段转换为带引号的元组字符串（需对参数做转义处理）：

List<String> combinationStrings = new ArrayList<>();
// 注意：需对参数中的单引号做转义，避免SQL注入
combinationStrings.add("('70033100', '0090047002', 'CAT')");

警告：该方式存在极高SQL注入风险，仅作为极端场景下的临时方案，生产环境优先使用前两种方法。

内容的提问来源于stack exchange，提问作者kaushal singh