代码中解决SQL注入问题

Sql查询条件采用参数化查询

1、相等查询条件（=）

//语句拼接
s.append(" and id =:id");
//设置参数
map.put("id",id);

2、模糊查询条件（like）

//语句拼接
s.append("and name like :name");
//设置参数
map.put("name","%"+name+"%");

3、多条件查询（in）

//语句拼接
s.append("and id in (:list)");
//设置参数
map.put("ids",list);

//设置参数集合的类型与id属性的类型息息相关。在这里id为Integer类型，所以封装集合的类型必须是Integer。
List<Integer> list = = new ArrayList<>();
list.add(0);
list.add(1);
map.put("id", list);