如前台传入字符串参数 :String str = "a,b,c,d,e,f";
现需将此参数作为查询语句的参数,
Select * from news where id in (${id}),使用该语句查询正常返回结果,但势必产生sql注入漏洞。
如修改为:Select * from news where id in (#{id}),程序报错。
正确写为如下:
id in
<foreach collection="str.split(',')" item="item" index="index" open="(" separator="," close=")">#{item}</foreach>