本文介绍使用 PostgreSQL 与 JDBC PreparedStatement 实现灵活、安全的动态 SQL 查询，通过 IS NULL 条件判断避免字符串拼接，支持标题、描述等字段的空值过滤，兼顾可维护性与 SQL 注入防护。
在实际项目中，经常会遇到需要根据用户输入的可选条件来动态构建查询的场景。比如一个列表搜索功能，用户可能只填了标题，也可能填了标题和描述，还可能什么都不填——这时候如果直接在 Ja va 代码里用 if-else 拼 SQL 字符串，不仅代码看着乱，还容易埋下安全隐患。更别说测试起来有多痛苦了。
好在 PostgreSQL 和 JDBC 的 PreparedStatement 提供了一种非常优雅的方案：利用 IS NULL 在 SQL 层面做条件短路判断。核心思路就是——对于每个可选参数，在 WHERE 子句里用 (? IS NULL OR column = ?) 这种结构来包裹，当参数为 NULL 时，这个条件自动为真，相当于跳过了该筛选；当参数非 NULL 时，则正常参与匹配。
来看一个具体的例子：
SELECT * FROM listings WHERE (? IS NULL OR listing_title = ?) AND (? IS NULL OR listing_description = ?) AND (? IS NULL OR listing_location = ?) ORDER BY id DESC;
注意这里每个可选字段需要绑定两个占位符——第一个用来判断是否为 NULL，第二个用来做实际等值匹配。Ja va 代码中需要按顺序设置参数：
String sql = "SELECT * FROM listings " +
"WHERE (? IS NULL OR listing_title = ?) " +
" AND (? IS NULL OR listing_description = ?) " +
" AND (? IS NULL OR listing_location = ?) " +
"ORDER BY id DESC";
try (PreparedStatement stmt = connection.prepareStatement(sql)) {
// title 参数：先判空，再匹配
stmt.setString(1, title); // 第1个?：title 是否为空
stmt.setString(2, title); // 第2个?：title 实际值（若非空）
// description 参数
stmt.setString(3, description);
stmt.setString(4, description);
// location 参数
stmt.setString(5, location);
stmt.setString(6, location);
try (ResultSet rs = stmt.executeQuery()) {
// 处理结果集...
}
}
这种写法带来的好处很明显：
- 安全可靠：全程使用 PreparedStatement，SQL 注入风险彻底消除；
- 逻辑清晰：SQL 语句是静态定义的，没有运行时拼接，审查和单元测试都方便得多；
- 零额外依赖：纯标准 SQL + JDBC，不需要引入 ORM 或模板引擎；
- 兼容性强：这个模式在 PostgreSQL、MySQL、SQL Server 等主流数据库里都有效。
当然也有一些需要注意的地方：
- 如果某个参数是集合类型（比如
List）需要做 IN 查询，那 IS NULL 就不太适用了——这时候还是得动态构建 SQL，根据集合大小生成对应数量的 ? 占位符，但依然要使用 PreparedStatement 来绑定参数，不能直接用字符串插值； - 如果需要模糊匹配（比如 LIKE），把
= ?换成LIKE ?就行，传入"%" + keyword + "%"； - 索引优化方面：当大量字段都支持可选过滤时，单列索引的效果有限，可以考虑建立复合索引或者部分索引，比如
CREATE INDEX ON listings (listing_title) WHERE listing_title IS NOT NULL。
这种“条件短路式”的写法，既保留了 SQL 声明式的表达力，又让 Ja va 层的参数控制变得干净利落。对于构建生产级的动态查询来说，算是一个值得推荐的标准实践。
