mybatis 模糊查询，防止sql注入

<where>   //防止sql注入的模糊查询

         <if test=“   name!=null and name!= ‘ ’     ” >

                  and name like concat(“%”，#{name} ，“%”)

         <if>

<where>

        

 

if (tbSpecification != null) {
    if (!StringUtils.isNullOrEmpty(tbSpecification.getSpecName())) {
        example.createCriteria().andSpecNameLike("%" + tbSpecification.getSpecName() + "%");
    }
}

#拼接会加一对 ‘’  单引号,  想用#{name} ,提前把传过来的name 拼接好%%，

name=”%”+name+”%”;

                  $拼接不会加‘’。