MyBatis list Contains MyBatis 动态SQL 判断List Contains

本文介绍了如何在MyBatis动态SQL中使用ListContains方法来判断集合是否包含特定元素,并根据判断结果动态添加SQL查询条件。通过示例展示了针对字符串和数字类型列表的用法,并强调了equals方法的重要性。同时提醒注意ListContains与String类contains方法的区别,以及在实际应用中的潜在问题。
该文章已生成可运行项目,

MyBatis list Contains MyBatis 动态SQL 判断List Contains

一、情景描述

        在使用MyBatis 动态SQL查询时,有时候需要判断集合中是否有某个元素,若存在则 动态添加某个 表的关联查询 (常见场景:统计的时候,动态添加某个统计项,需要从关联表中查询),不存在,则不进行任何操作。

        在MyBatis 动态SQL中,如何实现呢?

二、代码演示

        1、在Java代码中,有2个类型的list,分别是 字符串strList 和 数字类型的 intList

ArrayList<String> strList = Lists.newArrayList();
strList.add("apple");
strList.add("orange");
strList.add("banana");

ArrayList<Integer> intList = Lists.newArrayList();
intList.add(111);
intList.add(222);
intList.add(333);

        2、字符串strList MyBatis 动态SQL写法儿如下:

<!-- 测试 strList contains 方法 -->
<if test="strList != null and strList.size() > 0 and strList.contains('apple')">
    AND 'apple' = 'apple'
</if>
<if test="strList != null and strList.size() > 0 and strList.contains('orange'.toString())">
    AND 'orange' = 'orange'
</if>
<if test='strList != null and strList.size() > 0 and strList.contains("banana")'>
    AND 'banana' = 'banana'
</if>

        3、数字类型的 intList MyBatis 动态SQL写法儿如下:

<!-- 测试 intList contains 方法 -->
<if test="intList != null and intList.size() > 0 and intList.contains(222)">
    AND 222 = 222
</if>
<if test="intList != null and intList.size() > 0 and intList.contains('333')">
    AND 333 = 333
</if>

 

 

三、总结

        1、MyBatis 动态SQL借助功能强大的基于 OGNL 的表达式,在写动态SQL时,可以把代码直接在Java程序中运行、测试。 Java程序可以满足,动态SQL一般都可以满足。(不确定?)

        2、注意list的contains方法,是判断集合中是否包含某个元素,最终调用的是 indexOf方法,若判断集合中是否包含某个对象,注意要重写equals方法,否则可能会出现不符合预期结果的情况。

 

        3、注意list的contains方法和String类的contains方法进行区分,前者是判断集合中是否包含某个元素,后者是 判断字符串中是否包含某个字符串。 如上述示例中,若动态SQL这样写,条件是不会执行的。

<if test='strList != null and strList.size() > 0 and strList.contains("ban")'>
    AND 'ban' = 'ban'
</if>

参考资料:动态 SQL_MyBatis中文网

本文章已经生成可运行项目
<think> 我们正在讨论关于MyBatis中使用${}拼接SQL的问题。根据引用内容,我们知道${}和#{}的主要区别在于:${}是直接拼接字符串,而#{}是使用预编译的占位符。用户要求详细介绍${}的使用方法、注意事项、优缺点等。 首先,根据引用[1]和引用[2]: - 使用${}会直接将参数拼接到SQL语句中,而不是作为预编译参数。这会导致SQL注入的安全风险。 - 然而,在某些场景下,${}又是必须的,比如动态表名、列名等。 根据引用[3]的例子,我们可以看到在动态表名和动态列名的场景下使用了${}。 因此,我们可以从以下几个方面来组织回答: 1. 使用场景:什么时候必须使用${}? 2. 注意事项:使用${}时如何规避风险? 3. 优缺点:对比${}和#{}的优缺点。 4. 安全实践:如何安全地使用${}? 同时,我们需要生成相关问题。 注意:回答中需要引用参考内容的地方,在句末添加引用标识,如[^1]。 </think> ### MyBatis 中 `${}` 拼接 SQL 的详解 `${}` 是 MyBatis 提供的**原生字符串拼接运算符**,它会直接替换为传入的字符串值,而非预编译参数。以下是关键知识点: --- #### 一、核心特性与使用场景 | 特性 | 说明 | 示例代码片段 | |---------------|----------------------------------------------------------------------|----------------------------------------------------------| | **直接拼接** | 将参数值原样嵌入 SQL,**不进行预处理** | `SELECT * FROM ${tableName}` → `SELECT * FROM user` [^3] | | **动态表/列名** | 必须用于动态表名、列名等**无法预编译**的场景 | `<foreach collection="keyList" item="item">${item}</foreach>` [^3] | | **ORDER BY** | 排序字段的动态传递 | `ORDER BY ${sortField} ${sortOrder}` | | **SQL 函数** | 调用数据库函数(如 `CONCAT()`) | `WHERE date = ${"CURDATE()"}` | --- #### 二、严重风险与注意事项 1. **SQL 注入漏洞** `${}` 会将用户输入直接拼接为 SQL 片段,攻击者可构造恶意参数执行非法操作: ```sql -- 原始SQL SELECT * FROM user WHERE id = ${id} -- 攻击者传入:id = "1 OR 1=1" -- 最终执行:SELECT * FROM user WHERE id = 1 OR 1=1 (泄露全表数据) ``` **防御建议**:用户输入参数**绝对禁止**使用 `${}`,必须用 `#{}` [^1][^2]。 2. **数据破坏风险** 攻击者可通过拼接 `DROP`、`DELETE` 等语句破坏数据: ```sql -- 传入:id = "1; DROP TABLE user;" SELECT * FROM user WHERE id = 1; DROP TABLE user; ``` 3. **性能问题** - 每次执行需重新解析完整的 SQL 语句,无法复用预编译模板 - 无参数类型校验,可能触发隐式类型转换导致索引失效 --- #### 三、安全使用实践 ✅ **安全场景** ```xml <!-- 动态表名(固定白名单) --> <select id="selectByTable"> SELECT * FROM ${tableName} WHERE id = #{id} <!-- 条件参数仍用#{} --> </select> ``` ```java // Java层控制表名合法性 public List<User> selectSafe(String tableName) { if (!Arrays.asList("user", "order").contains(tableName)) { throw new IllegalArgumentException("非法表名"); } return mapper.selectByTable(tableName); } ``` ✅ **替代方案** 1. **预定义枚举** ```xml <choose> <when test="sortField == 'NAME'">ORDER BY name</when> <when test="sortField == 'AGE'">ORDER BY age</when> </choose> ``` 2. **SQL 注入过滤器** ```java public String filterSQL(String input) { return input.replaceAll("[';\\-\\*]+", ""); // 过滤危险字符 } ``` --- #### 四、与 `#{}` 的对比 | 特性 | `${}` | `#{}` | |--------------|---------------------------|---------------------------| | **处理方式** | 直接字符串替换 | 预编译占位符 `?` | | **安全性** | 高危 SQL 注入风险 [^1][^2]| 防注入 | | **性能** | 无缓存,重复解析 | 预编译模板可复用 | | **适用场景** | 动态表名/列名 | 用户输入参数 | > 💡 **黄金法则**: > - **用户输入必用 `#{}`** > - **`${}` 仅用于可信内部参数(如预定义表名),且需白名单校验** > - 动态 SQL 优先使用 `<choose>`/`<if>` 而非 `${}` --- #### 五、典型错误案例 ```xml <!-- ❌ 高危:用户输入直接拼接 --> <select id="findUser"> SELECT * FROM user WHERE name = '${name}' <!-- 应改为 #{name} --> </select> <!-- ✅ 安全:动态表名+固定列名 --> <update id="updateData"> UPDATE ${safeTableName} <!-- 需校验表名合法性 --> SET value = #{value} <!-- 值用预编译 --> </update> ```
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值