where 1=1 是恒真条件，用作动态sql拼接起点以避免首条件判断；需配合参数化和空值过滤，现代框架中应优先使用内置动态查询功能而非手动拼接。
WHERE 1=1 是什么，为什么能用作动态拼接起点
它本身是恒真条件，不改变查询逻辑，但为后续 AND 子句提供统一入口——避免判断第一个条件是否要加 AND。很多 ORM 或手写 DAO 层拼 SQL 时用它省去“是否首条件”的分支逻辑。
注意：WHERE 1=1 不影响执行计划（优化器会直接忽略），但滥用会导致可读性下降、SQL 注入风险放大（尤其拼接用户输入时）。
拼接时最容易踩的三个坑
常见错误现象：WHERE 1=1 AND AND name = 'xxx'（多出一个 AND）、WHERE 1=1 AND （结尾残留 AND）、参数未转义导致注入或语法错误。
- 拼接前必须校验每个条件是否“有值且有效”，空字符串、
null、全空格都应跳过，不能只判!= null - 不要在每条条件后无脑加
AND，推荐统一用AND xxx = ?格式，由调用方控制是否追加 - 永远不要直接拼接用户输入！用预编译参数（
?或命名参数）代替字符串插值，例如 JDBC 用PreparedStatement，MyBatis 用#{}
不同语言里怎么安全拼接（以 Java + JDBC 和 Python + sqlite3 为例）
核心原则：把条件收集为键值对或元组列表，再生成 WHERE 片段和参数列表，而非逐个字符串拼接。
Java 示例片段：
List<string> clauses = new ArrayList();
List<object> params = new ArrayList();
<p>if (name != null && !name.trim().isEmpty()) {
clauses.add("name = ?");
params.add(name.trim());
}
if (age != null && age > 0) {
clauses.add("age > ?");
params.add(age);
}</p>
<p>String sql = "SELECT * FROM user WHERE 1=1";
if (!clauses.isEmpty()) {
sql += " AND " + String.join(" AND ", clauses);
}
// 然后用 PreparedStatement 设置 params</p></object></string>
Python 示例（sqlite3）：
clauses = []
params = []
<p>if name:
clauses.append("name = ?")
params.append(name)
if min_age is not None:
clauses.append("age > ?")
params.append(min_age)</p><p>sql = "SELECT * FROM user WHERE 1=1"
if clauses:
sql += " AND " + " AND ".join(clauses)
cursor.execute(sql, params)</p>
WHERE 1=1 在真实项目中该不该用
它不是银弹。现代框架（如 MyBatis 的 <if></if>、JOOQ、Spring Data JPA 的 ExampleMatcher）已封装了动态条件逻辑，硬写 WHERE 1=1 反而增加维护成本。
真正需要手拼的场景很少：比如遗留系统适配、极简脚本、或数据库不支持复杂表达式时。此时务必做到两点：参数化 + 条件过滤前置。漏掉任意一个，就可能查出意外数据或被注入。
