MyBatis中 like 的使用

使用數據庫

MySQL

用法1

<if test="carplate!=null and carplate!=''">
<![CDATA[
AND vehicle.carplate like '%${carplate}%'
]]>
</if>

用法2

<if test="carplate!=null and carplate!=''">
<![CDATA[
AND vehicle.carplate like CONCAT('%',#{carplate},'%')
]]>
</if>

兩種用法比較

效果上是同樣的。

可是用法1是有sql注入的風險的。好比：若是 carplate 參數輸入值爲

123%’;drop table ttt; --

這樣可能會執行 delete user 語句。

★試驗一把sql注入，真的發生了

執行並查看打印的日誌，

Sql格式沒問題，而且執行了 DROP TABLE ttt; 的操做。

這樣就把 ttt 表刪除了。

使用用法2，則沒有這個問題。