mybatis like sql注入 Spring Boot 处理动态SQL的正确姿势

mybatis like sql注入 Spring Boot 处理动态SQL的正确姿势

查询条件有的有值有的没值，写了一堆 if-else 拼字符串—— 动态 SQL 标签就是干这个的，但很多人还在手拼。

if标签判空

字段可能为空时，用 标签条件追加mybatis like sql注入 Spring Boot 处理动态SQL的正确姿势，而非 Java 代码拼 SQL。

    SELECT * FROM user WHERE 1=1
    
        AND name LIKE CONCAT('%',#{name},'%')
    
    
        AND status = #{status}
    

注意：WHERE 1=1 是传统写法，更优雅的方式见下方 标签。

where标签去AND

自动去掉首个条件前多余的 AND，不需要 1=1 兜底。

    SELECT * FROM user
    
        
            AND name LIKE CONCAT('%',#{name},'%')
        
        
            AND status = #{status}
        
    

注意： 只在子条件有内容时才插入 WHERE 关键字mybatis like sql注入，同时自动剔除开头的 AND。

标签多选一

多个条件互斥时，用 实现类似 -case 的逻辑。

    
        
            AND id = #{id}
        
        
            AND phone = #{phone}
        
        
            AND status = 'ACTIVE'
        
    

注意： 只会命中第一个满足条件的mybatis like sql注入，不会像 一样叠加多个条件。

一句话小结

判空追加、 自动去 AND、 互斥选择mybatis like sql注入mybatis like sql注入 Spring Boot 处理动态SQL的正确姿势，三个标签覆盖动态 SQL 绝大多数场景。