如何在sql语句中用java判断

Question

String SQL ="select *from emp where" +"empid='"+empid+"'".............
我想判断empid有没有值。如果有就拼在SQL里如果没有就不拼在sql里

Answer 1

如果你只是想要根据判定来拼SQL的话，可以使用三目运算符。例如你的empid是String类型，则可将你的语句改成：String SQL ="select *from emp where 1=1 " + StringUtils.isNotBlank(empid)?"and empid="+empid: " "+............; 虽然你这样拼SQL可以达成目的，但是这种方式并不安全，容易让那些有心的人抓住漏洞，可能会通过某些渠道(在你的参数值上面增加删表或修改值等SQL语句)植入一些SQL，这样安全就会成问题。如果你用的是Hibernate的话，还是用?来替代参数值比较好，Hibernate保证了一个?对应的一定是一个参数值，安全性会更高。