本文探讨了在处理动态参数的SQL查询中如何避免SQL注入风险，通过具体示例对比了不同写法的优劣，并给出了正确的参数化查询解决方案。
如前台传入字符串参数 ：String str = "a,b,c,d,e,f"；
现需将此参数作为查询语句的参数，
Select * from news where id in (${id}),使用该语句查询正常返回结果，但势必产生sql注入漏洞。
如修改为：Select * from news where id in (#{id})，程序报错。
正确写为如下：
id in
<foreach collection="str.split(',')" item="item" index="index" open="(" separator="," close=")">#{item}</foreach>
扫一扫
2139
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
