MyBatis（25）如何在 MyBatis 中实现动态表名

在MyBatis中实现动态表名通常涉及到动态SQL的使用，因为表名通常是写死在SQL语句中的。MyBatis提供了强大的动态SQL能力，主要通过在Mapper XML文件中使用MyBatis的内置表达式和指令来实现。实现动态表名的需求可能由多种业务场景驱动，比如根据不同的用户或时间将数据存储到不同的表中。

实现方法

使用MyBatis原生支持的动态SQL

1. 在Mapper接口中传递表名：

   首先，你需要在Mapper接口的方法中，将表名作为参数传递。例如：

   public interface YourMapper {
       List<YourEntity> selectByDynamicTableName(@Param("tableName") String tableName, @Param("otherCondition") String otherCondition);
   }
   

2. 在Mapper XML中使用动态SQL拼接表名：

   在Mapper的XML文件中，你可以使用${}语法来接收表名参数，并将其拼接到SQL语句中。这里需要注意，${}语法会导致SQL注入风险，因此确保传入的表名是安全的，或者通过应用逻辑层控制表名的输入范围。

   <select id="selectByDynamicTableName" resultType="YourEntity">
       SELECT * FROM ${tableName} WHERE some_column = #{otherCondition}
   </select>
   

代码演示

假设我们有一个业务场景，需要根据不同的年份查询不同的表（如orders_2020, orders_2021等）。下面是如何使用上述方法实现的：

1. Mapper接口：

   public interface OrderMapper {
       List<Order> selectByYear(@Param("tableName") String tableName, @Param("customerId") Long customerId);
   }
   

2. Mapper XML：

   <select id="selectByYear" resultType="Order">
       SELECT * FROM ${tableName} WHERE customer_id = #{customerId}
   </select>
   

3. 调用Mapper方法：

   假设你已经确定了要查询的年份和客户ID，你可以这样调用Mapper方法：

   String tableName = "orders_" + year; // 假设year是动态确定的
   Long customerId = 1001L;
   List<Order> orders = orderMapper.selectByYear(tableName, customerId);
   

安全注意事项

使用动态表名时，必须小心避免SQL注入攻击。因为${}语法会直接将变量内容拼接到SQL语句中，如果变量内容来自不可信的用户输入，攻击者可能会注入恶意的SQL代码。一种避免SQL注入的方法是限制表名的输入范围，比如通过枚举或者固定的字符串列表来控制允许的表名。

深入分析

MyBatis在处理${}和#{}时有本质的区别：${}是简单的字符串替换，而#{}则是通过预处理语句（PreparedStatement）来处理，能有效防止SQL注入。因此，在动态表名（或者任何动态SQL场景下）尽量避免使用${}，除非能完全控制输入值的安全性。

总结

实现MyBatis中的动态表名是一种相对高级的用法，主要通过动态SQL特性来实现。虽然这种方法提供了极大的灵活性，允许应用程序根据运行时数据构建复杂的SQL语句，但同时也带来了SQL注入的安全风险。因此，在实现时需要格外注意，确保动态拼接的表名或其他SQL片段是安全的。在设计数据库和应用逻辑时，也应评估是否有其他方式可以满足业务需求，以降低使用动态SQL的必要性。