【Mybatis】【7】order by 使用动态参数时需要注意，用${}而不是#{}

最新推荐文章于 2024-09-21 23:33:54 发布

转载最新推荐文章于 2024-09-21 23:33:54 发布 · 339 阅读

0 ·

CC 4.0 BY-SA版权

原文链接：http://www.cnblogs.com/huashengweilong/p/10924936.html

文章标签：

#java

本文探讨了在MyBatis中使用动态参数进行排序的方法，强调了在ORDER BY子句中使用$而非#的重要性，避免SQL注入风险。通过具体代码示例，展示了如何正确设置动态排序字段。

正文：

-- 正确写法
SELECT * FROM TABLE WHERE ID = #{id} ORDER BY ${columnName} DESC

参考博客：

MyBatis排序时使用order by 动态参数时需要注意，用$而不是# - pyzheng - ITeye博客
https://panyongzheng.iteye.com/blog/2257412

转载于:https://www.cnblogs.com/huashengweilong/p/10924936.html

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

aizhu4795

关注关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

mybatis 中对于 order by 动态排序的处理

从入门到放弃

03-23

962

首先字段名不知道，数量不确定，同时既要可以做到准确查询出结果，又要防止注入情况的发生，我是在网上没找到合适的解决方案。显然注入不了，因为这句sql 执行的结果是查询 ctaname为 "Tom or 1=1" 这个字符的结果集，有就是有，没有就是没有。这样一种 or （或）的查询条件，显然 1=1 始终为真，则会查询出对应表中的所有数据，这不就是简单的注入情况了吗？比如最近有兄弟咨询，我需要动态的根据调用方法传递的比如排序字段来进行排序（排序字段不知道，数量也不确定）。可以进行正常的排序。

18.＜Mybatis补充（$和#的区别+数据库连接池）＞

m0_73456341的博客

10-23

2073

详解了 1.$和#的区别 2.数据库连接池。 3.简单了解MySQL企业开发规范

参与评论您还未登录，请先登录后发表或查看评论

MyBatis排序时使用order by 动态参数时需要注意，用$而不是#, #{}和${}的区别以及order by注入问题

热门推荐

Syd丶

05-23

1万+

ORDER BY ${columnName} 这里MyBatis不会修改或转义字符串。重要：接受从用户输出的内容并提供给语句中不变的字符串，这样做是不安全的。这会导致潜在的SQL注入攻击，因此你不应该允许用户输入这些字段，或者通常自行转义并检查。 #{}相当于jdbc中的preparedstatement ${}是输出变量的值简单的说就是#{}传过来的参数带单引号''

MyBatis排序时使用order by 动态参数时需要注意，用$而不是#

pyzheng的专栏

11-17

2051

[url]http://blog.youkuaiyun.com/weibing_huang/article/details/7368556[/url] 字符串替换默认情况下，使用#{}格式的语法会导致MyBatis创建预处理语句属性并以它为背景设置安全的值（比如?）。这样做很安全，很迅速也是首选做法，有时你只是想直接在SQL语句中插入一个不改变的字符串。比如，像ORDER BY，你可以这样来使用： ...

Mybatis中的#号与$符号的区别

小泽

04-05

1万+

1、#{变量名}可以进行预编译、类型匹配等操作， 2、#{变量名}会转化为jdbc的类型。 3、${变量名}不进行数据类型匹配，直接替换。 4、#方式能够很大程度防止sql注入。 5、$方式无法方式sql注入。 6、$方式一般用于传入数据库对象，例如传入表名。 7、尽量多用#方式，少用$方式。 8、#会自动加双引号，$不会加双引号这两个符号在mybatis中最直接的区别就是：#相当于对数据加上单引号，$相当于直接显示数据（只讨论字符串类型的）。 1、#对传入的参数视为字符串，也就..

MyBatis排序时使用order by 动态参数时需要注意，用$而不是# 用$传参时，直接将参数的值放在sql语句中，如：

ahzxj2012的专栏

09-04

1万+

SELECT * FROM (SELECT A.*, ROWNUM RN FROM (SELECT * FROM t_OPENSOURCEAPKINFO where RECOMMEND =1 and VISIBILITY=2 ORDER BY id id id id${orderKey

MyBatis 中 ${}和 #{}的正确使用方法(千万不要乱用)

08-18

只有在某些特殊场景，比如构建动态 SQL（例如动态生成 ORDER BY 子句）时，才考虑使用 ${}。对于批量查询，可以使用 foreach 元素来处理数组或集合，例如： ```xml select * from country where id in (" ...

mybatis动态sql之Map参数的讲解

08-26

MyBatis动态SQL中参数类型可以是Map类型的，在实际开发中，我们经常需要在Mapper文件中传递Map参数，以实现动态SQL的构建。今天，我们将详细讲解MyBatis动态SQL之Map参数的使用。首先，让我们看一个简单的示例。在...

MyBatis - #{} 和 ${}

m0_74859835的博客

09-21

962

mybatis - #{ } 和 ${ } 的使用区别，预编译SQL 和即时SQL 的优缺点，及SQL注入问题

解决mybatis动态传入order by 参数的时候不生效的问题

qq_29062045的博客

02-08

1167

http://blog.youkuaiyun.com/u012685794/article/details/52022417解决mybatis动态传入order by 参数的时候不生效的问题字符串替换默认情况下，使用#{}格式的语法会导致MyBatis创建预处理语句属性并以它为背景设置安全的值（比如?）。这样做很安全，很迅速也是首选做法，有时你只是想直接在SQL语句中插入一个不改变的字符串。比如，像ORDER...

【MyBatis】在 ORDER BY 中的 #{} 占位符的问题

qq_16226933的博客

07-22

962

Order by中的 #{} 标签不起作用，本文记录了两种解决方案。

排序(order by)

heibaikong6的博客

10-17

439

我们知道从 MySQL 表中使用 SQL SELECT 语句来读取数据。如果我们需要对读取的数据进行排序，我们就可以使用 MySQL 的 ORDER BY 子句来设定你想按哪个字段哪种方式来进行排序，再返回搜索结果。语法你可以使用任何字段来作为排序的条件，从而返回排序后的查询结果。你可以设定多个字段来排序。你可以使用 ASC 或 DESC 关键字来设置查询结果是按升序或降序排列。 ...

mybatis的#{}和${}的区别以及order by注入问题

薛秋艳的博客

02-16

1525

#{}相当于jdbc中的preparedstatement ${}是输出变量的值 #{} 去除变量的值自动转化为字符串加上 '' ${} 里面的值直接取出来,不经过处理不会给你加上'' 所以在mybatis中如果是order by 或则 group by 某个字段的时候要用${} 二不能用#{} 简单说#{}是经过预编译的,是安全的,而

数据库中#{}和${}的区别，order by和limit后面${}替换的解决方案

m0_57640408的博客

01-21

3780

两者区别：#{}是预编译处理，${}是字符串替换（1）mybatis在处理#{}时，会将sql中的#{}替换为?号，调用PreparedStatement的set方法来赋值，sql在解析的时候会加上" ",当成字符串来解析。例如：#{123456, jdbcType=INTEGER} 预编译成：select * from tableName where id = ? ; 再变成：select * from tableName where id = '123456' ; （2）mybatis在处..

Mybatis xml中排序(order by)条件用#{}查询失败

简单-生活

01-10

1836

Mybatis中${}和#{}的区别：https://blog.youkuaiyun.com/BBQ__ZXB/article/details/127089187。处理简单分页时，发现从外部传入的排序条件无法生效，但程序无报错，正常返回列表，只是排序条件不对；1、当查询语句使用#{},例如传入"update_date desc"排序条件，生成语句如下。#{}表示一个占位符，当#{}传入的数据是一个字符串时，会自动将传入的数据加一个双引号。使用${}将传入的数据直接显示生成在sql中；

mybatis 没有引号_详解mybatis的#和$的区别及orderby注入问题

weixin_39711914的博客

12-05

324

详解mybatis的#{}和${}的区别以及order by注入问题，因为标题无法加入{}，所以我在文章内加了一下直奔主题..#{}相当于jdbc中的preparedstatement${}是输出变量的值你可能说不明所以,不要紧我们看2段代码:String sql = "select * from admin_domain_location order by ?";PreparedStatemen...

order by #{var} 与 order by var（ #{} 与 ${} 的区别）

HF0705的博客

09-14

264

mybatis 中 #{} 与${} 的区别

总结order by

zyt1204732670的博客

07-08

294

先创建表再插入数据 create table student( id char(36) primary key, name varchar(8) not null, age int(3) default 0, mobile char(11), address varchar(150) ) insert into student values ('9b4435ec-372c-456a-b287-e3c5aa23dff4','张三',24,'12345678901','北京海淀'); inser

mybatis动态order by