myBatis带条件的三种查询方式

1) 定义查询条件实体类
复制代码

package com.mybatis.entity;

public class QryPartParam {

private String partCode; //要查询的商品编码
private String partName; //要查询的商品名称
private float salePriceLow; //价格区间--起始价格
private float salePriceHigh; //价格区间--结束价格

public String getPartCode() {
    return partCode;
}
public void setPartCode(String partCode) {
    this.partCode=partCode;
}

public String getPartName() {
    return partName;
}
public void setPartName(String partName) {
    this.partName=partName;
}

public String getSalePriceLow() {
    return salePriceLow;
}
public void setSalePriceLow(String salePriceLow) {
    this.salePriceLow=salePriceLow;
}

public String getSalePriceHigh() {
    return salePriceHigh;
}
public void setSalePriceHigh(String SalePriceHigh) {
    this.SalePriceHigh=SalePriceHigh;
}

}

复制代码

    2)在com.mybatis.dao.PartDao中增加接口函数

public List getPartInfoByUser(QryPartParam qryPartParam);

    3)在com.mybatis.dao.mapper.PartMapper中增加其实现方法。

复制代码


SELECT * FROM tbInfoPart
WHERE PartCode = #{partCode}
AND PartName LIKE ‘%’+#{partName}+’%’
AND SalePrice

MyBatis是一个优秀的持久层框架,它提供了很多防止SQL注入的机制,但是还是存在某些情况下可能出现SQL注入的问题。下面我将介绍MyBatis中存在的三种SQL注入方式及相应的防范措施。 1. 字符串拼接注入方式: 在拼接SQL语句时,如果直接使用字符串拼接的方式,可能导致用户的输入被误认为是SQL语句的一部分。为了避免这个问题,我们应该使用参数化查询或者使用预编译语句。参数化查询使用占位符来代替用户输入,然后将用户输入作为参数传递给SQL语句。而预编译语句则是将SQL语句预先编译好,再根据用户的输入来填充相关信息。 2. SQL关键字注入方式: 攻击者可能通过输入SQL关键字来改变原本的SQL语句逻辑,例如输入WHERE 1=1来绕过原本的条件过滤。为了防止这种情况,我们可以使用白名单机制,对用户输入进行严格检查,只允许合法的输入。 3. SQL注释注入方式: 攻击者可能通过注释的方式绕过字符串过滤,例如输入' or '1'='1来改变SQL语句的逻辑。为了防范这种注入方式,我们可以使用过滤器来对用户输入进行过滤,将可能存在的注释进行处理。 综上所述,虽然MyBatis有一些内置的机制来防止SQL注入,但是我们仍然需要在代码中加入一些额外的防范措施,以增加系统的安全性。同时,我们也应该对用户的输入进行充分的验证和过滤,以减少潜在的安全风险。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值