Java后端开发——经验总结（持续更新ing）

---

1、xml文件中sql查询的字段必须起别名

不起别名的话，查询的数据直接是数据库中的字段名称，一是有可能不易于理解，二是如果字段名称发生更改，不需要再做额外的工作（涉及前段获取字段修改和后台使用数据的修改）。

2、涉及模糊查询需要做防SQL注入转换

SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。

未做内容检测，查询 ’ % _ 等特殊字符时会报错，且不安全。
此处推荐Mybatis的bind标签对进行keyword进行处理，#{}避免sql注入。

	/**
	 * 防SQL注入
	 */
	 <select id = "selectByKeyword">
		select * from table_one
		<where>
			<if test="keyword != null and keyword.trim() != ''">
				<bind name="keyword_pattern" value="'%'+keyword+'%'"/>
				username like #{keyword_pattern}
			</if>
		</where>
	</select>

注意：此处if标签非空判断加上了trim()方法，用于去除字符串两边的空格，使判断更加严谨。