由 Mybatis 源码畅谈软件设计（四）：动态 SQL 执行流程
内容提要
本文探讨了动态 SQL 的执行流程，强调了其与静态 SQL 的区别。动态 SQL 通过 SqlNode 实现，遵循单一职责原则并应用装饰器模式。示例分析了动态 SQL 的解析过程及其防止 SQL 注入的机制，指出 #{} 占位符通过 JDBC 的 PreparedStatement 绑定参数以确保安全，而 $ 占位符则存在 SQL 注入风险。
关键要点
-
本文探讨动态 SQL 的执行流程，强调其与静态 SQL 的区别。
-
动态 SQL 通过 SqlNode 实现，遵循单一职责原则并应用装饰器模式。
-
动态 SQL 执行查询时，首先获取 BoundSql 对象。
-
DynamicSqlSource 解析动态 SQL，创建动态上下文信息并处理动态标签。
-
动态标签的处理逻辑使用装饰器模式和静态代理模式。
-
IfSqlNode 通过 OGNL 判断表达式，决定是否拼接 SQL 片段。
-
动态 SQL 中的 #{} 占位符通过 JDBC 的 PreparedStatement 绑定参数以避免 SQL 注入。
-
使用 $ 占位符时，SQL 直接拼接，存在 SQL 注入风险。
延伸解读
动态 SQL 与静态 SQL 的区别
动态 SQL 通过 SqlNode 实现，允许在运行时根据条件生成 SQL 语句，而静态 SQL 在编译时就已确定。动态 SQL 的灵活性使其适用于复杂查询，但也增加了实现的复杂度。理解这两者的区别有助于开发者在不同场景下选择合适的 SQL 类型。
SQL 注入风险与防范
使用 #{} 占位符可以有效防止 SQL 注入，因为它通过 JDBC 的 PreparedStatement 绑定参数，而 $ 占位符则直接拼接 SQL，存在注入风险。开发者在编写动态 SQL 时，应优先使用 #{}，以确保应用的安全性。
设计模式的应用
本文提到的装饰器模式和单一职责原则在动态 SQL 的实现中起到了重要作用。通过这些设计模式，代码的可读性和可维护性得以提升。开发者在设计系统时，可以借鉴这些模式，以提高代码质量和系统的灵活性。
延伸问答
动态 SQL 和静态 SQL 有什么区别？
动态 SQL 通过 SqlNode 实现，允许在运行时生成 SQL 语句，而静态 SQL 在编译时就已确定。
动态 SQL 是如何避免 SQL 注入的？
动态 SQL 使用 #{} 占位符通过 JDBC 的 PreparedStatement 绑定参数，从而避免 SQL 注入风险。
动态 SQL 的执行流程是怎样的？
动态 SQL 执行时，首先获取 BoundSql 对象，然后解析动态 SQL，创建上下文信息并处理动态标签，最后生成完整的 SQL。
在 Mybatis 中，如何处理动态标签？
动态标签的处理使用装饰器模式和静态代理模式，通过 SqlNode 的 apply 方法增强 SQL 处理逻辑。
What is the role of IfSqlNode in dynamic SQL?
IfSqlNode 通过 OGNL 判断表达式，决定是否将对应的 SQL 片段拼接到最终的 SQL 中。
使用 $ 占位符时存在哪些风险？
使用 $ 占位符时，SQL 直接拼接，存在 SQL 注入风险，因为输入的内容会直接影响 SQL 语句。
