MyBatis单表查询：强势出击，揭秘占位符、SQL注入和like查询的奥秘

2023-06-25 08:47:07

转瞬即逝的参数占位符：MyBatis 单表查询的奥秘

在 MyBatis 的单表查询中，参数占位符扮演着至关重要的角色，它们充当着承载数据的桥梁，将数据安全可靠地传递给数据库。

参数占位符的种类

MyBatis 中的参数占位符有两种：${} 和 #{}。

${}：简单粗暴，但暗藏隐患

{} 占位符的使用非常简单直接，它将数据直接嵌入到 SQL 语句中。但是，这种方式存在一个致命缺陷——**SQL 注入** 。恶意用户可以利用 SQL 注入将恶意代码注入到你的 SQL 语句中，对数据库造成破坏。因此，在使用 {} 占位符时，务必要对用户输入的数据进行严格的过滤和验证。

#{}：安全可靠，一劳永逸

#{} 占位符采用预编译语句的方式，将数据与 SQL 语句分离，有效地防止了 SQL 注入攻击。当使用 #{} 占位符时，MyBatis 会先将 SQL 语句发送给数据库，然后在执行 SQL 语句时再将数据填充到占位符中。这种方式更加安全可靠，是编写 MyBatis 查询语句的最佳选择。

SQL 注入：防范未然，居安思危

SQL 注入是一种常见的网络攻击方式，它利用应用程序中存在的数据输入漏洞，将恶意 SQL 代码注入到数据库中，从而获取未授权的访问或执行任意 SQL 语句。这可能会导致数据泄露、数据库损坏甚至系统崩溃。因此，在编写 MyBatis 查询语句时，务必要对用户输入的数据进行严格的过滤和验证，防止 SQL 注入攻击的发生。

like 查询：游刃有余，如虎添翼

like 查询是一种模糊查询，它允许你使用通配符（%和_）来匹配字符串中的任意字符。这对于搜索不确定或不完整的数据非常有用。在 MyBatis 中，可以使用 #{} 占位符来编写 like 查询语句。

解决方案：巧用内置函数，化解难题

当在 MySQL 数据库中使用 like 查询时，可能会遇到一些问题。例如，当搜索包含 % 或 _ 字符的数据时，可能会导致查询结果不准确。为了解决这个问题，可以使用 MySQL 的内置函数 concat() 或 concat_ws() 来处理 like 查询。

1. concat() 函数：字符串拼接高手

concat() 函数可以将多个字符串连接起来，形成一个新的字符串。在 like 查询中，可以使用 concat() 函数将通配符与搜索字符串拼接起来，从而实现模糊查询。

2. concat_ws() 函数：万能拼接器

concat_ws() 函数与 concat() 函数类似，但它允许你在字符串之间指定一个分隔符。在 like 查询中，可以使用 concat_ws() 函数将通配符与搜索字符串拼接起来，并指定一个分隔符，从而实现模糊查询。

代码示例：一试便知，醍醐灌顶

Java 代码

// 使用 #{} 占位符编写 like 查询语句
String query = "SELECT * FROM users WHERE name LIKE #{name}";
// 将搜索字符串传递给 #{} 占位符
Map<String, Object> params = new HashMap<>();
params.put("name", "%John%");
// 执行查询
List<User> users = sqlSession.selectList("com.example.mapper.UserMapper.findByName", params);

// 使用 concat() 函数处理 like 查询
String query = "SELECT * FROM users WHERE name LIKE concat('%', #{name}, '%')";
// 将搜索字符串传递给 #{} 占位符
Map<String, Object> params = new HashMap<>();
params.put("name", "John");
// 执行查询
List<User> users = sqlSession.selectList("com.example.mapper.UserMapper.findByName", params);

// 使用 concat_ws() 函数处理 like 查询
String query = "SELECT * FROM users WHERE name LIKE concat_ws('%', #{name}, '%')";
// 将搜索字符串传递给 #{} 占位符
Map<String, Object> params = new HashMap<>();
params.put("name", "John");
// 执行查询
List<User> users = sqlSession.selectList("com.example.mapper.UserMapper.findByName", params);

SQL 语句

-- 使用 like 查询
SELECT * FROM users WHERE name LIKE "%John%";
-- 使用 concat() 函数处理 like 查询
SELECT * FROM users WHERE name LIKE concat('%', "John", '%');
-- 使用 concat_ws() 函数处理 like 查询
SELECT * FROM users WHERE name LIKE concat_ws('%', "John", '%');