Mybatis-Plus 数据权限插件重复拼接SQL问题分析

问题背景

在使用Mybatis-Plus框架进行开发时，数据权限控制是一个常见的需求。Mybatis-Plus提供了DataPermissionInterceptor插件来实现这一功能，开发者可以通过实现DataPermissionHandler接口来自定义数据权限规则。然而，在实际使用中，开发者可能会遇到SQL语句被重复拼接的问题。

问题现象

当使用Mybatis-Plus的MultiDataPermissionHandler插件时，如果数据权限处理器返回null值，会导致SQL语句中的WHERE条件被重复拼接。例如，原本期望的SQL语句应该是：

SELECT * FROM t_user WHERE deleted = 1 AND (username = 'system')

但实际上生成的SQL语句却变成了：

SELECT * FROM t_user WHERE deleted = 1 AND (username = 'system') AND deleted = 1 AND (username = NULL)

问题原因分析

这个问题的根源在于DataPermissionInterceptor插件的处理逻辑。当自定义的DataPermissionHandler实现类返回null时，插件没有正确处理这种情况，导致原始SQL条件被重复添加。

具体来看，问题出现在以下方面：

1. 插件处理流程：DataPermissionInterceptor会先获取原始SQL的WHERE条件，然后调用自定义处理器获取额外的权限条件
2. null值处理不当：当处理器返回null时，插件错误地将原始条件再次拼接，而不是保留原始条件不变
3. 条件叠加：每次执行都会叠加条件，导致SQL语句越来越长

解决方案

针对这个问题，开发者可以采取以下几种解决方案：

方案一：正确处理返回值

在自定义的DataPermissionHandler实现中，确保不返回null值。当不需要添加额外条件时，应该返回原始的where参数：

@Override
public Expression getSqlSegment(Table table, Expression where, String mappedStatementId) {
    // 业务逻辑判断...
    if (!shouldFilter) {
        return where; // 返回原始条件
    }
    // 添加权限条件...
    return newCondition;
}

方案二：升级Mybatis-Plus版本

在较新版本的Mybatis-Plus中，这个问题可能已经被修复。开发者可以考虑升级到最新稳定版。

方案三：自定义拦截器

如果必须使用特定版本，可以继承DataPermissionInterceptor并重写相关方法，在调用处理器前添加null值检查：

public class CustomDataPermissionInterceptor extends DataPermissionInterceptor {
    @Override
    protected void processSelect(StatementHandler sh, ResultSetHandler rsh) {
        // 原始逻辑...
        if (additionalCondition != null) {
            // 只添加非null的条件
        }
    }
}

最佳实践建议

1. 始终返回有效Expression：在自定义处理器中，无论是否添加条件，都应返回有效的Expression对象
2. 充分测试：对数据权限功能进行充分测试，特别是边界条件（如null值、空条件等）
3. 日志记录：在处理器中添加适当的日志，便于排查问题
4. 版本控制：保持Mybatis-Plus版本更新，及时获取官方修复

总结

Mybatis-Plus的数据权限功能虽然强大，但在使用时需要注意一些细节问题。特别是当自定义处理器返回null值时，可能会导致SQL语句异常。通过正确处理返回值或升级版本，可以避免这类问题的发生。开发者在使用这类高级功能时，应当深入理解其实现原理，才能更好地驾驭和定制它。