一个简单的Mybatis查询案例代码,例如:
<select id="query" parameterType="com.**.User" resultMap="XX*">
select * from t_*_user where 1=1
<if test="cn!=null and cn!=''"> and cn=#{cn} </if>
<if test="uid!=null and uid!=''"> and uid=#{uid} </if>
</select>
上面是大家不能再熟悉的Mybatis的SQL查询片段了,这个SQL的本意是根据查询条件查询出一个用户信息,不知道各位有没有看出什么问题。当然这条SQL本身是没有任何问题的,但是不代表无潜在的风险点。
1、大家可以试着想一想,如果参数cn或者uid没传会有什么惊喜(惊吓)
2、如果参数都有,但是库表存在相同记录会有什么问题
最近的项目中就遇到了这两个问题,这里跟大家分享一下。
问题1:系统会查询出大量的用户信息,那么系统肯定会OOM,一直到挂掉了。(这个问题如果你对系统不是很熟悉的话是很难发现,索引我们在写SQL的时候要格外小心)
问题2:由于线上会不可避免的存在垃圾数据和测试数据即多条相同的记录,这里需要保证仅能查询出一条数据即SQL末尾追加limit 1,限制查询记录数。