SELECT * FROM tableName WHERE name LIKE CONCAT(CONCAT('%', #{text}), '%'); (此拼接方式可以防止在搜索框插入恶意JavaScript导入查询报错。如:'><script>alert(document.cookie)</script>)
2. 使用 ${...} 代替 #{...}
SELECT * FROM tableName WHERE name LIKE '%${text}%'; (此方式在搜索框输入'><script>alert(document.cookie)</script>查询会报错)
1. sql中字符串拼接 SELECT * FROM tableName WHERE name LIKE CONCAT(CONCAT('%', #{text}), '%'); (此拼接方式可以防止在搜索框插入恶意JavaScript导入查询报错。如:'>alert(document.cookie))2. 使用 ${...} 代替 #{...} SELECT * FROM