AND lcp.customer_name LIKE CONCAT('%', #{customerName}, '%')这个语句有问题吗

这个SQL语句看起来是在使用JDBC或某种预编译查询，它试图在一个`LIKE`操作中查找`customer_name`字段，其中包含一个用户输入的`customerName`字符串。`%`符号代表通配符，匹配任意字符序列。

然而，从语法角度来看，这个表达式没有明显的问题。但是，可能存在潜在的安全风险，如果直接将用户的输入作为`LIKE`操作的一部分，可能会容易受到SQL注入攻击。如果`customerName`是由用户提供的未经验证的数据，应该使用参数化查询或者转义特殊字符以防止恶意输入。

正确的做法应该是将`#{customerName}`视为参数传递，而不是直接拼接到SQL语句中：

AND lcp.customer_name LIKE CONCAT('%', ? , '%')

然后在绑定参数时传入`customerName`值：

PreparedStatement pstmt = connection.prepareStatement(query);
pstmt.setString(1, customerName);
// ...其他参数设置...
pstmt.execute();

相关问题

sql语句中 and concat(bu.`name`,bu.real_name,bu.phone) like "%1%" 后边还可以在写concat() like "%1%" 条件吗

可以继续在后面写 `concat()` 函数并且使用 `like` 进行条件筛选，例如：

select * from table_name where concat(bu.`name`,bu.real_name,bu.phone) like "%1%" and concat(bu.`address`,bu.email) like "%2%"

这条 SQL 语句会筛选出 `table_name` 表中 `bu.name`、`bu.real_name` 和 `bu.phone` 字段中包含 "1"，`bu.address` 和 `bu.email` 字段中包含 "2" 的记录。