- 博客(1)
- 问答 (1)
- 收藏
- 关注
RSS订阅转载 MyBatis排序时使用order by 动态参数时需要注意，用$而不是#, #{}和${}的区别以及order by注入问题
ORDER BY ${columnName}这里MyBatis不会修改或转义字符串。重要：接受从用户输出的内容并提供给语句中不变的字符串，这样做是不安全的。这会导致潜在的SQL注入攻击，因此你不应该允许用户输入这些字段，或者通常自行转义并检查。#{}相当于jdbc中的preparedstatement${}是输出变量的值简单的说就是#{}传过来的参数带单引号''
2017-05-23 16:18:28
13814
1
空空如也
spring-boot shiro，后面登录的用户使用的权限是最开始登录用户的权限。
2018-09-04
TA创建的收藏夹 TA关注的收藏夹
TA关注的人