JAVA 使用 MyBatis 动态 SQL 报错？深入理解 OGNL 表达式解析机制

MyBatis 动态 SQL 报错？深入理解 OGNL 表达式解析机制

大家好，今天我们来深入探讨 MyBatis 动态 SQL 以及其背后的 OGNL 表达式解析机制。 很多开发者在使用 MyBatis 动态 SQL 时会遇到各种各样的报错，而这些报错往往与 OGNL 表达式的处理息息相关。 理解 OGNL 的工作原理，能够帮助我们更好地编写动态 SQL，并更快地定位和解决问题。

MyBatis 动态 SQL 简介

MyBatis 动态 SQL 是一种强大的特性，允许我们根据不同的条件生成不同的 SQL 语句。 这极大地提高了 SQL 的灵活性和可维护性，避免了在 Java 代码中拼接大量字符串的繁琐工作。

MyBatis 提供了多种动态 SQL 标签，例如：

• <if>: 用于条件判断。
• <choose>、<when>、<otherwise>: 类似于 Java 中的 switch 语句。
• <where>: 自动处理 WHERE 子句的开头 AND 或 OR。
• <set>: 自动处理 SET 子句的结尾逗号。
• <foreach>: 用于循环迭代集合。
• <bind>: 用于创建 OGNL 表达式中可用的变量。

这些标签结合 OGNL 表达式，可以实现非常复杂的动态 SQL 逻辑。

示例：使用 <if> 标签

<select id="findActiveBlogWithTitleLike" parameterType="Blog" resultType="Blog">
  SELECT * FROM Blog
  WHERE state = 'ACTIVE'
  <if test="title != null and title != ''">
    AND title like #{title}
  </if>
</select>

在这个例子中，只有当 title 属性不为 null 且不为空字符串时，AND title like #{title} 才会添加到 SQL 语句中。 test 属性的值就是一个 OGNL 表达式。

OGNL (Object-Graph Navigation Language) 表达式

OGNL 是一种强大的表达式语言，它允许我们以简洁的方式访问和操作 Java 对象的属性。 在 MyBatis 中，OGNL 用于访问传入的参数对象，并根据属性值来判断是否应用某个动态 SQL 片段。

OGNL 的主要特点包括：

• 对象图导航: 可以方便地访问对象的属性，包括嵌套属性。
• 类型转换: 自动进行类型转换，例如将字符串转换为数字。
• 方法调用: 可以调用对象的方法。
• 集合操作: 可以访问和操作集合中的元素。
• Lambda 表达式: 支持简单的 Lambda 表达式。

OGNL 表达式语法示例：

OGNL 表达式	含义
name	访问对象的 name 属性。
address.city	访问对象的 address 属性的 city 属性。
size()	调用对象的 size() 方法。
list[0]	访问 list 集合的第一个元素。
map['key']	访问 map 中键为 'key' 的值。
title != null and title.length() > 0	判断 title 属性是否不为 null 且长度大于 0 。
_parameter.id	当参数是单个值时，可以使用 _parameter 来引用该参数。 假设传入的参数是 Integer id = 123; 那么这个表达式等同于 id。
@java.lang.Math@PI	静态方法调用。 通过 @class@field/method() 的格式调用静态属性或者静态方法。
new java.util.ArrayList()	创建对象。 通过 new class() 的格式创建对象。
list.{#this.name}	投影操作。 返回一个集合，集合中的每个元素都是原始 list 集合中每个对象的 name 属性。 #this 指的是当前迭代的元素。
list.^{#this.age > 18}	选择操作。 返回 list 集合中 age 大于 18 的第一个元素。
list.${#this.age > 18}	选择操作。 返回 list 集合中 age 大于 18 的所有元素。
list.*{#this.age}	收集操作。 返回一个包含 list 集合中所有元素的 age 属性的集合。
list?{#this.age > 18}	选择操作。 返回 list 集合中 age 大于 18 的所有元素。 与 ${} 类似，但是返回的是原始对象，而不是属性值。

注意点：

• 在 MyBatis 中，OGNL 表达式可以使用 #{} 或 ${} 两种占位符。 #{} 用于预编译 SQL，可以防止 SQL 注入；${} 用于直接替换 SQL，存在 SQL 注入的风险，应谨慎使用。
• OGNL 表达式中的 null 值会被特殊处理。 在进行比较时，例如 title != null，OGNL 会将 null 转换为 ognl.OgnlRuntime.NULL_TYPE，而不是 Java 的 null。 因此，直接使用 == null 可能会导致意想不到的结果。
• 当参数是 Map 时， 可以直接通过 key 来访问值，例如 map['key'] 或者 map.key 。

常见的 MyBatis 动态 SQL 报错及 OGNL 解析机制

现在我们来看一些常见的 MyBatis 动态 SQL 报错，并分析其背后的 OGNL 解析机制。

1. NullPointerException (空指针异常)

这是最常见的错误之一。 通常是由于 OGNL 表达式访问了 null 对象的属性导致的。

示例：

<if test="address.city != null">
  AND city = #{address.city}
</if>

如果 address 对象为 null，那么 address.city 就会抛出 NullPointerException。

解决方案：

在访问属性之前，先判断对象是否为 null。

<if test="address != null and address.city != null">
  AND city = #{address.city}
</if>

OGNL 解析机制：

OGNL 在解析 address.city 时，会先尝试获取 address 对象，如果 address 对象为 null，则会抛出 NullPointerException。

2. NoSuchPropertyException (没有找到属性异常)

当 OGNL 表达式尝试访问一个不存在的属性时，会抛出 NoSuchPropertyException。

示例：

<if test="user.agee > 18">  <!-- 注意：agee 拼写错误 -->
  AND age > 18
</if>

如果 User 对象没有 agee 属性，就会抛出 NoSuchPropertyException。

解决方案：

检查 OGNL 表达式中的属性名称是否正确。

OGNL 解析机制：

OGNL 在解析 user.agee 时，会使用反射机制来查找 User 对象的 agee 属性。 如果找不到，则抛出 NoSuchPropertyException。

3. Type mismatch (类型不匹配)

当 OGNL 表达式期望的类型与实际类型不匹配时，可能会导致错误。

示例：

假设 Blog 实体类有一个 published 字段，类型为 Boolean。

<if test="published == 'true'">
  AND published = true
</if>

这里，OGNL 表达式尝试将字符串 'true' 与布尔类型的 published 属性进行比较。 虽然 OGNL 能够进行类型转换，但是字符串与布尔类型的比较可能会导致意想不到的结果。

解决方案：

确保 OGNL 表达式中的类型与实际类型匹配。 可以直接使用布尔值 true。

<if test="published == true">
  AND published = true
</if>

OGNL 解析机制：

OGNL 尝试将 'true' 转换为布尔类型，但是由于字符串和布尔类型的比较规则，可能会导致错误的结果。

4. Invalid comparison (无效的比较)

当 OGNL 表达式使用了无效的比较运算符时，可能会导致错误。

示例：

<if test="title = null">  <!--  应该使用 == -->
  AND title IS NULL
</if>

在 OGNL 中，应该使用 == 来判断是否相等，而不是 =。

解决方案：

使用正确的比较运算符。

<if test="title == null">
  AND title IS NULL
</if>

OGNL 解析机制：

OGNL 会将 = 解释为赋值运算符，而不是比较运算符，导致语法错误。

5. Collection was mutated during iteration (迭代期间集合被修改)

在使用 <foreach> 标签时，如果在迭代过程中修改了集合，可能会导致此错误。

示例（错误示例）：

List<Integer> list = new ArrayList<>(Arrays.asList(1, 2, 3, 4, 5));
list.forEach(item -> {
    if (item % 2 == 0) {
        list.remove(item); // 错误：在迭代过程中修改集合
    }
});

解决方案：

避免在迭代过程中修改集合。 可以使用迭代器或者创建一个新的集合来存储需要保留的元素。

示例（正确示例）：

List<Integer> list = new ArrayList<>(Arrays.asList(1, 2, 3, 4, 5));
Iterator<Integer> iterator = list.iterator();
while (iterator.hasNext()) {
    Integer item = iterator.next();
    if (item % 2 == 0) {
        iterator.remove(); // 使用迭代器安全地删除元素
    }
}

或者：

List<Integer> list = new ArrayList<>(Arrays.asList(1, 2, 3, 4, 5));
List<Integer> newList = new ArrayList<>();
for (Integer item : list) {
    if (item % 2 != 0) {
        newList.add(item);
    }
}
list.clear();
list.addAll(newList);

OGNL 解析机制：

OGNL 在迭代集合时，会维护一个内部的迭代器。 如果在迭代过程中修改了集合，迭代器会抛出 ConcurrentModificationException。

6. 使用 ${} 导致的 SQL 注入

虽然 ${} 提供了直接替换 SQL 的能力，但是如果不加以控制，很容易导致 SQL 注入。

示例（存在 SQL 注入风险）：

<select id="findBlogByTitle" parameterType="string" resultType="Blog">
  SELECT * FROM Blog
  WHERE title = '${title}'
</select>

如果 title 参数包含恶意 SQL 代码，例如 ' OR '1'='1，那么最终生成的 SQL 语句可能会绕过权限验证，导致数据泄露。

解决方案：

避免使用 ${}，尽量使用 #{} 进行参数绑定。 如果必须使用 ${}，一定要对参数进行严格的验证和过滤。

OGNL 解析机制：

${} 会直接将参数值替换到 SQL 语句中，不做任何处理。 这使得恶意 SQL 代码得以执行。 而 #{} 会使用预编译的 PreparedStatement，将参数作为占位符进行绑定，从而避免 SQL 注入。

动态 SQL 最佳实践

为了避免 MyBatis 动态 SQL 报错，并提高代码的可维护性，建议遵循以下最佳实践：

• 始终使用 #{} 进行参数绑定，避免 SQL 注入。
• 在访问对象属性之前，先判断对象是否为 null。
• 检查 OGNL 表达式中的属性名称是否正确。
• 确保 OGNL 表达式中的类型与实际类型匹配。
• 避免在迭代过程中修改集合。
• 使用 <bind> 标签创建 OGNL 表达式中可用的变量，提高代码的可读性。
• 将常用的动态 SQL 片段抽取成 <sql> 标签，提高代码的复用性。
• 编写单元测试，确保动态 SQL 的正确性。
• 使用 MyBatis 的日志功能，查看生成的 SQL 语句，帮助调试。

代码示例： 使用 <bind> 和 <sql> 标签优化动态 SQL

<sql id="blogColumns">
  id, title, content, state, create_time, update_time
</sql>

<select id="findBlogsByCondition" parameterType="map" resultType="Blog">
  <bind name="pattern" value="'%' + _parameter.title + '%'" />
  SELECT <include refid="blogColumns"/>
  FROM Blog
  <where>
    <if test="title != null and title != ''">
      AND title LIKE #{pattern}
    </if>
    <if test="state != null">
      AND state = #{state}
    </if>
  </where>
</select>

在这个例子中，我们使用 <bind> 标签创建了一个名为 pattern 的变量，用于模糊查询。 我们还使用 <sql> 标签定义了一个名为 blogColumns 的 SQL 片段，用于指定要查询的列。 这样做可以提高代码的可读性和复用性。

OGNL 的调试技巧

当遇到 OGNL 表达式错误时，可以通过以下方式进行调试：

1. 查看 MyBatis 的日志输出。 MyBatis 会打印出生成的 SQL 语句，可以帮助我们确定 OGNL 表达式的实际值。
2. 使用 MyBatis 的拦截器。 可以编写一个自定义的拦截器，在 SQL 执行之前打印出 OGNL 表达式的值。
3. 使用单元测试。 编写单元测试，模拟不同的参数情况，测试动态 SQL 的正确性。
4. 使用 OGNL 的调试工具。 有一些 OGNL 的调试工具可以帮助我们评估 OGNL 表达式的值。

总结一下要点

掌握 MyBatis 动态 SQL 和 OGNL 表达式对于编写高效、可维护的数据库操作代码至关重要。 理解 OGNL 的解析机制，可以帮助我们避免常见的错误，并更快地定位和解决问题。 记住，安全第一，尽量使用 #{} 进行参数绑定，并遵循动态 SQL 的最佳实践。