mybatis自定义排序 防注入

在 MyBatis 中，可以通过自定义排序来实现对查询结果的排序，同时需要注意防止 SQL 注入的问题。以下是一种常见的做法：

1. 创建一个 POJO（Plain Old Java Object）类，用于存储排序的字段和排序方式。例如：

public class SortParam {
    private String field;
    private String order;

    // 省略构造函数和 getter/setter 方法
}

2. 在 Mapper 接口中添加一个新的方法，用于接收排序参数并在 SQL 中进行处理。例如：

public interface MyMapper {
    List<MyEntity> selectBySort(@Param("sort") SortParam sortParam);
}

3. 在对应的 Mapper XML 文件中编写 SQL 语句，根据传入的排序参数动态拼接 ORDER BY 子句。例如：

<select id="selectBySort" resultType="MyEntity">
    SELECT * FROM my_table
    <if test="sort != null">
        ORDER BY ${sort.field} ${sort.order}
    </if>
</select>

4. 调用方传入合法的排序参数，并调用对应的方法进行查询。注意要在调用前对排序参数进行合法性验证，防止注入攻击。

SortParam sortParam = new SortParam("column_name", "ASC");
List<MyEntity> entities = myMapper.selectBySort(sortParam);

通过使用这种方式，可以实现自定义排序，并在拼接 SQL 时避免注入攻击。如果输入的排序字段和方式不受信任，可以使用白名单或其他验证方式来限制输入的合法性。同时，建议使用参数化查询或预编译语句，以提高安全性。