在自定义的Mapper里order by子句可以用#{}吗

在自定义的Mapper里，如果要使用Order By子句，应该使用动态SQL，而不是#{}。因为#{}只是表示参数占位符，会将参数转换成字符串进行拼接，而不会对Order By子句进行任何处理。因此，如果要使用Order By子句，应该使用动态SQL的<if>标签，例如：

<select id="findUsers" resultMap="UserResultMap">
  SELECT * FROM user
  <if test="orderBy != null">
    ORDER BY ${orderBy}
  </if>
</select>

在上面的示例中，<if>标签用于判断是否有Order By子句需要拼接，如果有，则使用${}语法将Order By子句作为动态SQL进行拼接。注意，在使用${}语法时，需要对Order By子句进行参数校验，防止SQL注入攻击。

相关问题

mybatis自定义条件分页查询

Mybatis 提供了自定义条件分页查询的支持，以下是一个示例：

public interface UserMapper {
    List<User> selectByPage(@Param("name") String name, @Param("start") int start, @Param("pageSize") int pageSize);
}

在 Mapper 接口中定义一个名为 `selectByPage` 的方法，该方法有三个参数：`name`、`start` 和 `pageSize`。其中，`name` 是查询条件，`start` 和 `pageSize` 分别表示起始位置和每页显示的记录数。

在对应的 XML 文件中，可以使用 `<if>` 标签来实现动态 SQL 语句的生成。例如：

<select id="selectByPage" resultType="User">
    select * from user
    <where>
        <if test="name != null and name != ''">
            and name like concat('%', #{name}, '%')
        </if>
    </where>
    order by id desc
    limit #{start}, #{pageSize}
</select>

以上代码中，使用了 `<if>` 标签来判断 `name` 参数是否为空，如果不为空，则拼接一个 `like` 条件。然后使用 `limit` 子句实现分页查询。

注意：在 Mapper 接口中，需要使用 `@Param` 注解来指定参数名称，以便在 XML 文件中引用。

mybatis自定义排序 防注入

在 MyBatis 中，可以通过自定义排序来实现对查询结果的排序，同时需要注意防止 SQL 注入的问题。以下是一种常见的做法：

1. 创建一个 POJO（Plain Old Java Object）类，用于存储排序的字段和排序方式。例如：

public class SortParam {
    private String field;
    private String order;

    // 省略构造函数和 getter/setter 方法
}

2. 在 Mapper 接口中添加一个新的方法，用于接收排序参数并在 SQL 中进行处理。例如：

public interface MyMapper {
    List<MyEntity> selectBySort(@Param("sort") SortParam sortParam);
}

3. 在对应的 Mapper XML 文件中编写 SQL 语句，根据传入的排序参数动态拼接 ORDER BY 子句。例如：

<select id="selectBySort" resultType="MyEntity">
    SELECT * FROM my_table
    <if test="sort != null">
        ORDER BY ${sort.field} ${sort.order}
    </if>
</select>

4. 调用方传入合法的排序参数，并调用对应的方法进行查询。注意要在调用前对排序参数进行合法性验证，防止注入攻击。

SortParam sortParam = new SortParam("column_name", "ASC");
List<MyEntity> entities = myMapper.selectBySort(sortParam);

通过使用这种方式，可以实现自定义排序，并在拼接 SQL 时避免注入攻击。如果输入的排序字段和方式不受信任，可以使用白名单或其他验证方式来限制输入的合法性。同时，建议使用参数化查询或预编译语句，以提高安全性。