动态SQL的拼接方法

动态SQL是指在程序运行时根据不同的条件动态生成SQL语句的技术。它能够灵活应对复杂的查询需求，提升代码的可维护性和可扩展性。

1. 字符串拼接法

通过字符串拼接的方式生成SQL语句，适用于简单的场景。例如：

String sql = "SELECT * FROM users WHERE 1=1";
if (condition) {
    sql += " AND age > 18";
}

优点：实现简单，易于理解。
缺点：容易引发SQL注入，且代码可读性差。

2. 使用预编译语句

通过PreparedStatement动态拼接SQL，避免SQL注入问题。例如：

StringBuilder sql = new StringBuilder("SELECT * FROM users WHERE 1=1");
if (condition) {
    sql.append(" AND age > ?");
}
PreparedStatement ps = connection.prepareStatement(sql.toString());
ps.setInt(1, 18);

优点：安全性高，性能较好。
缺点：代码复杂度较高。

3. 使用SQL模板引擎

借助MyBatis等框架，通过XML或注解方式动态生成SQL。例如：

<select id="getUsers" resultType="User">
    SELECT * FROM users
    <where>
        <if test="age != null">AND age > #{age}</if>
    </where>
</select>

优点：代码简洁，易于维护。
缺点：需要学习框架的使用。

动态SQL的拼接方法应根据具体场景选择，兼顾安全性和开发效率。