在mybatis的sql配置文件中怎样使用like并防止sql注入攻击
1个回答
展开全部
#{xxx}，使用的是PreparedStatement，会有类型转换，所以比较安全；
${xxx}，使用字符串拼接，可以SQL注入；
like查询不小心会有漏动，正确写法如下：
Mysql: select * from t_user where name like concat('%', #{name}, '%')
Oracle: select * from t_user where name like '%' || #{name} || '%'
SQLServer: select * from t_user where name like '%' + #{name} + '%'
${xxx}，使用字符串拼接，可以SQL注入；
like查询不小心会有漏动，正确写法如下：
Mysql: select * from t_user where name like concat('%', #{name}, '%')
Oracle: select * from t_user where name like '%' || #{name} || '%'
SQLServer: select * from t_user where name like '%' + #{name} + '%'
本回答由提问者推荐
已赞过
已踩过<
评论
收起
你对这个回答的评价是？
推荐律师服务：
若未解决您的问题，请您详细描述您的问题，通过百度律临进行免费专业咨询
