如何在Spring Data JPA的@Query注解中添加子查询？

Hey，我来帮你搞定这个问题！你现在的写法其实有两个大问题：一是存在严重的SQL注入风险，二是完全不符合Spring Data JPA处理动态查询或子查询的规范。咱们一步步来拆解正确的实现方式：

一、先说说你原有写法的问题 #

你把optionalQuery作为字符串参数直接拼到JPQL里，比如手动拼接"AND a.code=" + code，这种方式会导致：

• SQL注入风险：如果code是用户输入的恶意内容（比如"1'; DROP TABLE Foo;--"），直接拼接会执行恶意SQL，完全没有安全保障。
• JPA不会解析参数内的JPQL：Spring Data JPA只会把:optionalQuery当作普通字符串插入，不会自动处理参数绑定，比如字符串类型的code你还要手动加引号，进一步增加出错和风险的概率。

所以这种方式绝对不能用，下面是正确的实现方案：

二、静态子查询：直接嵌入@Query中 #

如果你的子查询逻辑是固定的，直接把它写在@Query的JPQL语句里就好，示例如下：

比如要查询名称包含搜索词，且code存在于某个子查询结果中的Foo数据：

@Query("SELECT a FROM Foo a WHERE LOWER(a.name) LIKE LOWER(CONCAT('%', :searchTerm, '%')) " +
       "AND a.code IN (SELECT b.code FROM Bar b WHERE b.status = 'ACTIVE')")
Page<Foo> findBySearchTermWithFixedSubquery(@Param("searchTerm") String searchTerm, Pageable pageRequest);

这里的SELECT b.code FROM Bar b WHERE b.status = 'ACTIVE'就是直接嵌入的子查询，JPA会自动解析并执行，安全且规范。

三、动态子查询/动态条件（对应你的optionalQuery场景） #

如果你的查询条件是动态的（比如有时候需要加子查询，有时候不需要，或者子查询的条件随参数变化），推荐用以下两种官方推荐的方式：

方式1：使用Spring Data JPA的Specification #

Specification可以帮你动态构建查询条件，包括子查询，完全避免SQL注入。

首先，你的Repository需要继承JpaSpecificationExecutor：

public interface FooRepository extends JpaRepository<Foo, Long>, JpaSpecificationExecutor<Foo> {
}

然后在业务层构建动态查询条件：

public Page<Foo> findFoos(String searchTerm, String code, Pageable pageRequest) {
    Specification<Foo> spec = (root, query, cb) -> {
        // 基础条件：名称模糊匹配
        Predicate basePredicate = cb.like(
            cb.lower(root.get("name")), 
            "%" + searchTerm.toLowerCase() + "%"
        );
        
        // 如果code不为空，添加子查询条件
        if (code != null && !code.isEmpty()) {
            // 构建子查询：从Bar表中查询匹配code的记录
            Subquery<String> subquery = query.subquery(String.class);
            Root<Bar> barRoot = subquery.from(Bar.class);
            subquery.select(barRoot.get("code"))
                    .where(cb.equal(barRoot.get("code"), code));
            
            // 将子查询条件加入主查询
            Predicate subqueryPredicate = cb.in(root.get("code")).value(subquery);
            return cb.and(basePredicate, subqueryPredicate);
        }
        
        return basePredicate;
    };
    
    return fooRepository.findAll(spec, pageRequest);
}

方式2：使用Querydsl（更简洁的动态查询） #

如果你的项目引入了Querydsl，写法会更简洁优雅。

首先添加Querydsl依赖（根据你的构建工具调整），然后让Repository继承QuerydslPredicateExecutor：

public interface FooRepository extends JpaRepository<Foo, Long>, QuerydslPredicateExecutor<Foo> {
}

然后构建动态查询条件：

public Page<Foo> findFoos(String searchTerm, String code, Pageable pageRequest) {
    QFoo foo = QFoo.foo;
    BooleanExpression predicate = foo.name.toLowerCase().contains(searchTerm.toLowerCase());
    
    if (code != null && !code.isEmpty()) {
        QBar bar = QBar.bar;
        // 构建子查询
        BooleanExpression subqueryPredicate = foo.code.in(
            JPAExpressions.select(bar.code)
                          .from(bar)
                          .where(bar.code.eq(code))
        );
        predicate = predicate.and(subqueryPredicate);
    }
    
    return fooRepository.findAll(predicate, pageRequest);
}

内容的提问来源于stack exchange，提问作者Zozo Zozo