如何通过白名单映射字段名实现动态ORDER BY排序参数传递？

本文共计1007个文字，预计阅读时间需要5分钟。

动态传参给 ORDER BY 本身不支持参数化，必须使用白名单映射字段名——这是防止 SQL 注入的初始要求，而非可选项。

为什么不能直接用 ? 或 #{ } 给 ORDER BY 传字段名

数据库引擎（SQL Server、PostgreSQL、MySQL）明确区分「值」和「标识符」：参数占位符（如 ?、@p、#{field}）只接受数据值，不能替换列名、表名或关键字。一旦强行传入，实际执行的是 ORDER BY 'user_id' 这类语句——字符串字面量恒为相同值，排序失效，且可能报类型转换错误（比如把 'created_at' 当字符串跟 datetime 列比）。

常见错误现象包括：

• 查询结果完全无序，或所有行排在同一位置
• 报错如 Conversion failed when converting the varchar value 'status' to data type int
• MyBatis 中写成 ORDER BY #{orderBy}，日志显示生成了带单引号的 ORDER BY 'name'

白名单映射字段名的三种安全落地方式

核心逻辑：用户传来的字段名（如 "sort=price"）不直接拼接，而是查表/枚举/配置，映射到预设合法字段，再拼进 SQL。