Spring Data JPA如何编写列名动态取自循环的SQL查询语句

你写的SELECT DISTINCT ?1 FROM TABLEName where rowStatus=0无法实现动态列查询的原因很简单：Spring Data JPA 中?1这类参数占位符仅支持绑定查询的字面值，不能替换列名、表名这类SQL标识符。如果直接把列名作为参数传入，JPA会把传入值处理成字符串常量，最终执行的SQL语义完全错误，还会触发语法异常。

方案1：使用JPA Criteria API动态构造查询（最推荐，无注入风险） #

这是JPA规范下实现动态列查询的标准方式，步骤如下：

• 提前维护该表允许被查询的列名白名单，从根源避免SQL注入
• 循环遍历目标列名时，每轮先校验列名是否在白名单内
• 通过CriteriaBuilder动态构造查询的选择字段，执行查询返回结果
  核心代码示例：

// 定义允许查询的列白名单，仅集合内的列可以被查询
private static final Set<String> QUERY_ALLOWED_COLUMNS = Set.of("user_name", "dept_id", "role_code");

@PersistenceContext
private EntityManager entityManager;

public List<Object> getDistinctColumnVal(String inputColumnName) {
    // 白名单校验，非法列直接拦截
    if (!QUERY_ALLOWED_COLUMNS.contains(inputColumnName)) {
        throw new IllegalArgumentException("不支持查询该字段");
    }
    CriteriaBuilder cb = entityManager.getCriteriaBuilder();
    CriteriaQuery<Object> query = cb.createQuery(Object.class);
    Root<YourEntity> root = query.from(YourEntity.class);
    // 动态指定要查询的列，加去重逻辑
    query.select(root.get(inputColumnName)).distinct(true)
            .where(cb.equal(root.get("rowStatus"), 0));
    return entityManager.createQuery(query).getResultList();
}

你在循环逻辑里每轮拿到要查的列名，调用这个方法就能拿到对应列的去重结果。

方案2：@Query注解配合SpEL实现 #

如果你希望直接在Repository接口中通过@Query定义查询，可以借助Spring SpEL表达式动态传入列名，注意必须同步做白名单校验：

public interface YourTableRepository extends JpaRepository<YourTableEntity, Long> {
    @Query(value = "SELECT DISTINCT #{#columnName} FROM table_name WHERE rowStatus = 0", nativeQuery = true)
    List<Object> queryDistinctCol(@Param("columnName") String columnName);
}

调用这个方法前同样要校验传入的列名是否在白名单内，禁止直接透传外部输入的列名。

绝对不要直接通过字符串拼接的方式把外部传入的列名直接拼到SQL中，否则会存在严重的SQL注入漏洞。如果使用原生SQL动态拼接，也必须严格执行白名单校验逻辑，确认传入值是合法的列名后再拼接。

内容的提问来源于stack exchange，提问作者JeevanDas Kalra