是否可在SQL参数中传入并使用SQL片段实现动态查询？

你示例中的用法不可行，NamedParameterJdbcTemplate的参数绑定仅支持传入字面量，会自动对字符串类型的参数做转义处理，你传入的过滤SQL片段会被当成普通字符串包裹在引号中，最终执行的SQL会出现语法错误。

以下是几种可行的实现方案：

• 方案一：动态拼接SQL片段+参数绑定（推荐，无SQL注入风险）
  提前收集所有需要用到的过滤条件，分别拼接SQL片段和绑定参数值，所有用户输入的取值都走参数绑定，SQL片段完全由代码可控：

  MapSqlParameterSource parameters = new MapSqlParameterSource();
  parameters.addValue("name", "Joe");
  List<String> filterSegments = new ArrayList<>();
  
  // 需要加color过滤时添加对应片段和参数
  filterSegments.add("color = :color");
  parameters.addValue("color", "blue");
  
  // 有其他过滤条件时同理，继续往filterSegments和parameters中添加内容即可
  String sql = "select * from foo where name = :name";
  if (!filterSegments.isEmpty()) {
      sql += " and " + String.join(" and ", filterSegments);
  }
  namedParameterJdbcTemplate.query(sql, parameters, new urobjRowMapper());
  

• 方案二：直接拼接可控SQL片段（仅适合过滤逻辑完全由代码生成、无外部输入的场景）
  如果确实需要直接传入整段过滤SQL，确保该SQL没有任何用户可控制的输入内容，直接拼入主SQL字符串即可，不要走参数绑定：

  // 此处filter完全由代码生成，不存在用户输入，才可以用该方案
  String filter = "and color = 'blue'";
  String sql = "select * from foo where name = 'Joe' " + filter;
  namedParameterJdbcTemplate.query(sql, new MapSqlParameterSource(), new urobjRowMapper());
  

• 方案三：封装公共查询方法（适合多服务复用的场景）
  把通用查询逻辑封装为公共方法，对外只暴露可传入的过滤参数，内部统一处理动态SQL拼接，既可以避免重复代码，也能从底层避免SQL注入风险：

  // 公共工具类/服务中的复用方法
  public List<Foo> queryFoo(String name, String color, Integer otherFilterParam) {
      MapSqlParameterSource parameters = new MapSqlParameterSource();
      parameters.addValue("name", name);
      List<String> filterSegments = new ArrayList<>();
  
      if (color != null) {
          filterSegments.add("color = :color");
          parameters.addValue("color", color);
      }
      if (otherFilterParam != null) {
          filterSegments.add("other_column = :otherFilterParam");
          parameters.addValue("otherFilterParam", otherFilterParam);
      }
  
      String sql = "select * from foo where name = :name";
      if (!filterSegments.isEmpty()) {
          sql += " and " + String.join(" and ", filterSegments);
      }
      return namedParameterJdbcTemplate.query(sql, parameters, new urobjRowMapper());
  }
  
  // 调用方直接传参数即可，无需关心SQL拼接逻辑
  List<Foo> result = queryFoo("Joe", "blue", null);
  

注意：无论使用哪种方案，所有来自外部用户输入的过滤值都必须走参数绑定，绝对不能直接拼入SQL字符串，避免出现SQL注入漏洞。

内容的提问来源于stack exchange，提问作者Aloha_Scope