mybatis like %% 模糊查询防sql 注入

最新推荐文章于 2025-05-19 23:00:41 发布

flanet

最新推荐文章于 2025-05-19 23:00:41 发布

阅读量1.1w

点赞数

分类专栏： myibatis3 文章标签： sql ibatis string jdk java

myibatis3 专栏收录该内容

4 篇文章

订阅专栏

本文深入探讨了在使用Ibatis进行SQL查询时，遇到包含特殊字符如%和_的参数如何进行转译，以确保查询语句正确执行。通过提供Java端的代码示例，详细解释了如何对关键参数进行正则表达式的替换，以适应SQL语句的语法要求，特别关注于不同JDK版本下的兼容性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

所以解决的思路是：sql中应该跟正常的替换方式相同，ibatis并没有提供特殊写法，应该在传入的参数上下功夫。

也就意味着需要自己来做转译。

SQL文：

select * from A where A.name like #{key}

java端对Key值进行转译：

    public static String transfer(String keyword) {
        if(keyword.contains("%") || keyword.contains("_")){
            keyword = keyword.replaceAll("\\\\", "\\\\\\\\")
                             .replaceAll("\\%", "\\\\%")
                             .replaceAll("\\_", "\\\\_");
        }
        return keyword;
    }

然后再转译后的key上，按照逻辑添加“%”或者“_”，再设置到statement中即可。

例如：前方一致检索

key = transfer(key) + "%";
注意：上面的转译方法适用于jdk1.6，之前的可能需要将第一个.replaceAll("\\\\", "\\\\\\\\")

改成:.replaceAll("\\", "\\\\") 即可。