sql 查询 _ 和 % 特殊字符使用逃离符处理为字符串

原创于 2019-04-23 13:47:20 发布 · 590 阅读

CC 4.0 BY-SA版权

文章标签：

3 篇文章

订阅专栏

本文探讨了在构建SQL查询时如何避免SQL注入攻击，通过实例展示了如何正确处理特殊字符，如'_'和'%'，并使用转义字符确保SQL语句的安全性。

String taskName = paramVo.getTaskName() != null ? paramVo.getTaskName().trim().replace("_", "\\_").replace("%", "\\%") : null;

queryClause = queryClause + " and perdTable.name like '%" + taskName + "%' escape '\\' ";

筛选条件 taskName 将特殊字符 _ 或 % 替换为 \_ 或者 \%

在拼接 sql的末尾部分添加 escape '\' 最后执行的实际 sql为

AND perdTable.name LIKE '%部门预算监督\_预算编制\_部门预算项目支出明细表%' ESCAPE '\'

sql 查询 _ 和 % 特殊字符使用 逃离符 处理为字符串