--- theme: smartblue highlight: atom-one-dark --- 一起养成写作习惯！这是我参与「掘金日新计划 · 4 月更文挑战」的第1天，[点击查看活动详情](https://juejin.cn/post/7080800226365145118 "https://juejin.cn/post/7080800226365145118")。 ## 1 前言阅读本篇文章您可以了解到如下内容: - Druid SQL Parser - 访问者模式 - MyBatis 在此之前, 如果您阅读以下内容可更好的进行理解: - [Druid SQL AST](https://github.com/alibaba/druid/wiki/Druid_SQL_AST) - [Druid SQL Parser](https://github.com/alibaba/druid/wiki/SQL-Parser) - [MyBatis XML映射相关](https://mybatis.org/mybatis-3/zh/sqlmap-xml.html) ## 2 需求分析需求来自于公司项目, 简单提取出以下几点: 1. 解析查询列 2. 解析自定义查询参数 3. 根据查询参数编译SQL语句并进行查询 4. 防止SQL注入对其中的部分内容详细阐述: ### 解析查询列短短五个字, 却包含了许多内容, 首先列举下常用的查询列情况: 1. 列名, 例如`select name from t_user`中的`name` 2. 有别名的列, 例如`select gender as sex from t_user`中的`gender as sex` 3. 方法, 例如`select concat(name, email) from t_user`中的`concat(name, email)` 4. 全部列, 例如`select * from t_user` ### 解析自定义查询参数这个需求主要看约束了, 我们讨论使用MyBatis的写法, 例如: `select * from t_user where id = #{id} and name like '#{name}%'` 最后提取的结果为`['id', 'name']`即可 ## 3 技术选型通过需求分析, 我们可以将工作主要分为三个模块: **SQL解析**/**SQL编译**/**SQL执行** 由于公司使用的是MyBatis, 所以SQL执行方式自然是字符换替换, 那SQL执行的需求可以进一步缩小为**防止SQL注入** ### SQL解析由于自定义查询参数书写格式固定, 我们只需要正确的解析出SQL的查询条件, 再利用正则提取内容即可所以如何正确解析SQL成为关键通过网上冲浪, 总结出了如下开源方案: 1. Antlr 2. Apache Calcite 3. Druid 4. JSqlParser 5. sharding-JDBC 由于业务并不复杂, 偏重量级的Antlr/基于Antlr实现的sharding-JDBC首先排除其次排除的是JSqlParser, 它虽然使用便捷, 但不支持`{}`的输入, 会对自定义参数的解析产生影响最后选择Druid的原因有如下两点: 1. 中文文档且详细, 便于理解和开发 2. 本功能为支撑功能, 后续会有其它开发人员介入, 英文水平不可控 ### SQL编译 SQL编译其实是根据提供的查询参数进行占位符替换, 在使用量不高的情况下, 使用正则替换即可 ## 4 研究与实现 ### 4.1 SQL抽象语法树 Druid的SQL解析, 核心实际是它的SQL AST(**A**bstract **S**yntax **T**ree), 即SQL抽象语法树在阅读[官方文档](https://github.com/alibaba/druid/wiki/Druid_SQL_AST)后, 可以总结我们会用到的一些语法树节点: 1. `SQLSelectStatement`: 查询SQL节点 2. `SQLTableSource`: 表节点 3. `SQLSelect`: 查询节点 4. `SQLSelectQueryBlock`: 查询块节点还有一些`SQLExpr`, 官方文档描述的不够详细, 需要在开发的时候进行测试 ### 4.2 访问者模式上一节中介绍了, SQL抽象语法树是核心, 那么怎么根据这棵语法树得到我们想要的结果呢? Druid采用的是设计模式中的访问者模式翻开以前学习过(~~但从没用过~~)的设计模式教材, 发现访问者模式的应用场景正是: 如果你需要对一个复杂对象结构 (例如**对象树**)中的所有元素执行某些操作，可使用访问者模式那么对于我们而言, 只需要实现一个自己的访问者即可, 伪代码的使用逻辑大概如下: ```java // 生成语法树 String sql = "select * from t_user"; SQLSelectStatement statement = parse(sql); // 访问并解析 MyVisitor visitor = new MyVisitor; statement.accept(visitor); // 获取结果 visitor.getSelectColumns(); visitor.getParameters(); ``` ### 4.3 是否有轮子? Druid出自大厂之手, 必然会为我们提供很多使用的功能, 通过翻阅源码后, 找到了一个访问者: `SchemaStatVisitor` 它的属性大概如下: ```java public class SchemaStatVisitor extends SQLASTVisitorAdapter { protected final Map columns = new LinkedHashMap(); protected final List conditions = new ArrayList(); protected final Set relationships = new LinkedHashSet(); protected final List orderByColumns = new ArrayList(); protected final Set groupByColumns = new LinkedHashSet(); protected final List aggregateFunctions = new ArrayList(); protected final List functions = new ArrayList(2); private List