MySQL查询仅当过滤值非空/非空白/非null时生效的最佳实践

你现有的代码存在两个核心问题：

• 直接拼接用户输入生成SQL，存在严重的SQL注入漏洞，属于高危写法
• SQL语法错误：不存在THEN BY关键字，多条件拼接应该用AND

以下两种实现可根据你的业务场景选择： #

方案1：参数化查询+SQL内置条件判断（写法简洁，通用度高） #

核心逻辑是用MySQL的函数先判断参数是否为空/空白，符合跳过条件时整个过滤段返回true，不限制对应字段。
该写法无需处理SQL拼接逻辑，代码维护成本低，但因为WHERE条件用了函数运算，无法命中columnA、columnB的索引，适合数据量小、查询频率低的场景

正确的SQL条件写法：

WHERE 
  (TRIM(IFNULL(@valueA, '')) = '' OR columnA = @valueA)
  AND (TRIM(IFNULL(@valueB, '')) = '' OR columnB = @valueB)

对应的C#参数化写法：

// 代码层先处理入参，减少SQL运算
valueA = valueA?.Trim();
valueB = valueB?.Trim();

using (var cmd = new MySqlCommand(@"
SELECT columnA, columnB 
FROM `table`
WHERE 
  (IFNULL(@valueA, '') = '' OR columnA = @valueA)
  AND (IFNULL(@valueB, '') = '' OR columnB = @valueB)
GROUP BY columnA
LIMIT 0, 100", connection))
{
    // 绑定参数彻底避免SQL注入
    cmd.Parameters.AddWithValue("@valueA", valueA);
    cmd.Parameters.AddWithValue("@valueB", valueB);
    // 后续执行查询逻辑
}

方案2：代码层动态拼接SQL条件（性能更优，适合大数据量场景） #

如果你的表数据量很大，需要用到columnA、columnB的索引，推荐在代码层判断参数有效性，只拼接需要的过滤条件，避免SQL函数导致索引失效：
该写法生成的SQL更简洁，过滤条件可以命中对应字段的索引，查询性能更高，适合大数据量、高频率查询的场景

valueA = valueA?.Trim();
valueB = valueB?.Trim();
var conditions = new List<string>();
var parameters = new List<MySqlParameter>();

// 仅当参数有有效值时拼接对应过滤条件
if (!string.IsNullOrEmpty(valueA))
{
    conditions.Add("columnA = @valueA");
    parameters.Add(new MySqlParameter("@valueA", valueA));
}
if (!string.IsNullOrEmpty(valueB))
{
    conditions.Add("columnB = @valueB");
    parameters.Add(new MySqlParameter("@valueB", valueB));
}

// 动态拼接完整SQL
var sql = @"SELECT columnA, columnB FROM `table` ";
if (conditions.Any())
{
    sql += " WHERE " + string.Join(" AND ", conditions);
}
sql += " GROUP BY columnA LIMIT 0, 100";

using (var cmd = new MySqlCommand(sql, connection))
{
    cmd.Parameters.AddRange(parameters.ToArray());
    // 后续执行查询逻辑
}

内容的提问来源于stack exchange，提问作者jockathon junior