mybatis模糊查询防止％

时间: 2023-12-06 09:38:13 浏览: 101

mybatis 模糊查询的实现方法

5星 · 资源好评率100%

mybatis 模糊查询的实现方法 mybatis的逆向助手确实好用，可以省去很多编写常规sql语句的时间，但是它没办法自动生成模糊查询语句，但开发中模糊查询是必不可少的，所以，需要手动对mapper编写模糊查询功能。这里先明确MyBatis/Ibatis中#和$的区别: 1. #将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：order by #user_id#，如果传入的值是111,那么解析成sql时的值为order by “111”, 如果传入的值是id，则解析成的sql为order by “id”. 2. $将传入的数据直接显示生成在sql中。如：order 在MyBatis中，模糊查询是一种常见的查询方式，特别是在数据搜索功能中不可或缺。本文将详细介绍如何在MyBatis中实现模糊查询，以及`#`和`$`的区别。让我们来理解`#`和`$`的区别。这两个符号在MyBatis中用于参数绑定，它们的主要区别在于SQL预编译和安全防范方面： 1. `#`：使用`#`的方式，MyBatis会将传入的参数转化为预编译的SQL参数，即会将其包裹在单引号内，这被称为PreparedStatement方式。例如，`order by #user_id#`，如果传入的值是111，解析后的SQL将是`order by '111'`；如果传入的是'id'，则解析为`order by 'id'`。这种方式能够有效地防止SQL注入攻击，因为数据库会预先处理这些参数，不会执行任何未预期的代码。 2. `$`：与`#`相反，`$`会将参数直接拼接到SQL字符串中，称为Statement方式。例如，`order by $user_id$`，如果传入值为111，SQL将变成`order by user_id`；如果传入的是'id'，则为`order by id`。这种方式无法防止SQL注入，因为传入的值会被原样插入到SQL语句中，如果参数包含恶意SQL代码，可能会导致安全问题。在进行模糊查询时，通常推荐使用`#`，因为它更安全。例如，以下是一个在`UserMapper.xml`中的模糊查询示例： ```xml <select id="queryUserByKey" parameterType="string" resultType="com.lqr.pojo.User"> select * from user where uid like CONCAT('%',#{key},'%') or username like CONCAT('%',#{key},'%') or realname like CONCAT('%',#{key},'%') or identification like CONCAT('%',#{key},'%') or email like CONCAT('%',#{key},'%') </select> ``` 这段XML配置定义了一个查询方法，接受一个字符串类型的`key`参数，然后在`uid`、`username`、`realname`、`identification`和`email`字段上进行模糊匹配。`#{key}`是参数占位符，MyBatis会将传入的`key`值替换并添加到`CONCAT('%', #{key}, '%')`中，从而实现模糊查询。对应的Java接口`UserMapper.java`中，需要定义对应的方法： ```java List<User> queryUserByKey(String key); ``` 这个方法接收一个字符串`key`，调用上面XML中的查询语句，返回匹配到的用户列表。在实际开发中，你可能会遇到需要执行包含特殊字符的SQL语句，比如存储过程。这时，可以使用`<![CDATA[...]]>`来包裹SQL语句，确保内容不被当作字符串处理。例如： ```xml <insert id="executeProcedure"> <![CDATA[ call some_procedure(#{param1}, #{param2}) ]]> </insert> ``` 理解MyBatis中的`#`和`$`的区别，以及正确使用它们进行模糊查询，对于提升应用的安全性和效率至关重要。在实现模糊查询时，应优先考虑使用`#`，并避免使用`$`，除非你知道这样做是安全的。同时，利用`<![CDATA[...]]>`可以帮助执行复杂的SQL操作，如存储过程调用。

为了防止用户输入的通配符影响到模糊查询的结果，可以在传入参数时对其进行处理。在MyBatis中，可以使用`<![CDATA[ ]]>`标签来包含SQL语句，从而避免特殊字符的影响。具体实现如下： ```xml  <select id="selectByKeyword" parameterType="String" resultType="Material"> SELECT * FROM materials WHERE materials_name LIKE CONCAT('%', <![CDATA[#{keyword}]]>, '%') </select> ``` 在Java代码中，需要对传入的参数进行处理，将其中的特殊字符进行转义，例如： ```java // 对传入的参数进行处理，将其中的特殊字符进行转义 String keyword = "%" + specialSubjectName.replaceAll("([%_])", "\\\\$1") + "%"; List<Material> materials = materialMapper.selectByKeyword(keyword); ``` 其中，`replaceAll("([%_])", "\\\\$1")`表示将字符串中的`%`和`_`进行转义，转义后的结果为`\%`和`\_`。

阅读全文

mybatis模糊查询防止％

相关推荐

MyBatis实现模糊查询的几种方式

Mybatis模糊查询和动态sql语句的用法

mybatis 模糊查询、

mybatis 模糊查询

mybatis中模糊查询

mybatis 改成模糊查询AND t1.name = #{name}

spring mybatis 写一段模糊查询的代码

mybaitis模糊查询

模糊查询加号变成空格

mybatis中oracle怎样写模糊匹配转义字符

模糊查询sql怎么写mapper

mysql模糊查询Sql注入的问题

mybatis如何配置查询内容区分大小写

BooleanExpression expression 模糊查询防注入

mybatis中多表关联的一对多List集合怎么写where条件进行模糊查询

mybatis like

ssm框架实现模糊查询两个字段

mybatis xml like

mybatisplus的like模糊null

最新推荐

MyBatis实现模糊查询的几种方式

Mybatis使用MySQL模糊查询时输入中文检索不到结果怎么办

SqlServer中模糊查询对于特殊字符的处理方法

Windows平台下的Fastboot工具使用指南

管理建模和仿真的文件

DLMS规约深度剖析：从基础到电力通信标准的全面掌握

修改代码，使其正确运行

Python机器学习基础入门与项目实践

"互动学习：行动中的多样性与论文攻读经历"

【Shell脚本进阶】：wc命令行数统计的高级用法及解决方案