stringbuilder适合轻量、动态、结构可控的html或sql片段生成，如用户列表、where条件拼装等；必须转义用户输入、预估容量、只拼结构不拼值，不能替代thymeleaf等模板引擎。
StringBuilder 不是模板引擎，不能替代 Thymeleaf、MyBatis 或 FreeMarker；它是在轻量、动态、结构可控的 HTML 或 SQL 片段生成场景中，最直接高效的字符串拼接工具。
适合用 StringBuilder 的典型场景
不是所有 HTML/SQL 都该手拼——只有满足以下条件时，StringBuilder 才是合理且高效的选择：
- 内容结构简单、嵌套浅（如用户列表、单行表格、WHERE 条件拼装）
- 拼接逻辑由 Java 运行时动态决定（比如根据参数开关字段、增删条件）
- 输出为一次性片段，不需复用或国际化（如后台导出 HTML 预览、调试日志中的 SQL 快照）
- 数据量中等（几十到几千条），但对性能敏感（避免 GC 压力）
HTML 拼接：安全 + 分块 + 可读
不要把整个页面塞进一个 StringBuilder。按语义拆成可组合的小块：
- 每个逻辑单元（如
- 、
）单独封装成方法，返回 String 或接受同一个 StringBuilder 参数 - 所有用户输入内容必须转义：
StringEscapeUtils.escapeHtml4(name)或轻量替换（& → &，- 开发期可加换行与缩进提升可读性：
sb.append("\n").append(" ").append("<div>")...，上线前设为空字符串即可<li>预估容量：比如 <ul>（8 字）+ 每个 <li>（约 120 字）× N，构造时写 <code>new StringBuilder(8 + users.size() * 120)SQL 拼接：只拼结构，绝不拼值
拼 SQL 的核心原则是结构与参数分离：
- 用 StringBuilder 拼固定部分：SELECT 字段、表名、WHERE 框架、ORDER BY、动态 AND 条件（如
" AND status = ?"） - 用户输入的值一律不 append，改用 PreparedStatement 的
setString(i, value)绑定 - 处理逗号分隔字段或条件时，避免末尾多出逗号：用布尔标记法（
first ? first = false : sb.append(", ")）或 StringJoiner - 字段名、表名若来自配置或白名单，可拼；若来自不可信输入，必须校验或拒绝
关键细节别踩坑
高效不等于随便写，几个易忽略但影响大：
- 每次 new StringBuilder 就是一次对象分配——循环外新建，循环内只 append，别在循环里反复 new
- 不要在拼接中途频繁 toString()，否则失去后续追加优化，还可能触发多余字符串创建
- 链式调用
sb.append("a").append(b).append("c")是推荐写法；避免sb.append("a" + "b")，编译器会先生成临时 StringBuilder - 多线程环境下不要共享实例；高频调用可考虑
ThreadLocal<stringbuilder></stringbuilder>，但多数 Web 场景局部变量足矣
- 所有用户输入内容必须转义：
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
