MyBatisPlus-inSql和in的区别解析

TOC

区别概述

inSql：同等于${}，存在SQL注入隐患
in：同等于#{}，不存在SQL注入隐患

源码解析

in-跟踪路线

Func -> AbstractWrapper -> inExpression -> formatParam -> SqlScriptUtils.safeParam -> HASH_LEFT_BRACE = “#{”;

    /**
     * 字段 IN (value.get(0), value.get(1), ...)
     * <p>例: in("id", Arrays.asList(1, 2, 3, 4, 5))</p>
     *
     * <li> 注意！集合为空若存在逻辑错误，请在 condition 条件中判断 </li>
     * <li> 如果集合为 empty 则不会进行 sql 拼接 </li>
     *
     * @param condition 执行条件
     * @param column    字段
     * @param coll      数据集合
     * @return children
     */
    Children in(boolean condition, R column, Collection<?> coll);

inSql-跟踪路线

Func -> AbstractWrapper -> inSql -> () -> String.format("(%s)", inValue)

    /**
     * 字段 IN ( sql语句 )
     * <p>!! sql 注入方式的 in 方法 !!</p>
     * <p>例1: inSql("id", "1, 2, 3, 4, 5, 6")</p>
     * <p>例2: inSql("id", "select id from table where id &lt; 3")</p>
     *
     * @param condition 执行条件
     * @param column    字段
     * @param inValue   sql语句
     * @return children
     */
    Children inSql(boolean condition, R column, String inValue);