mybatis 防sql注入like的写法

最新推荐文章于 2024-04-23 18:23:41 发布

weixin_34270606

最新推荐文章于 2024-04-23 18:23:41 发布

阅读量448

点赞数

文章标签： java 数据库 python

原文链接：https://my.oschina.net/zhaolin/blog/795900

版权

2019独角兽企业重金招聘Python工程师标准>>>

#{xxx}，使用的是PreparedStatement，而且会有类型转换，所以比较安全；
${xxx}，使用字符串拼接，可以SQL注入；
like查询不小心会有漏动，正确写法如下：
Mysql: select * from t_user where name like concat('%', #{name}, '%')
Oracle: select * from t_user where name like '%' || #{name} || '%'
SQLServer: select * from t_user where name like '%' + #{name} + '%'

转载于:https://my.oschina.net/zhaolin/blog/795900