mybatis字符串转义问题解决

问题描述

提前剧透：
如果参数中有. ?等特殊参数，需要使用${}，但需要注意sql注入问题

@Select("select * from account order by #{orderBy} #{orderRule} limit #{start},#{offset}")
public List<Account> getAccountList(@Param("orderBy") String orderBy, @Param("orderRule") String orderRule,
    @Param("start) int start, @Param("offset") int offset);

如上代码所示，在执行查询操作时，为了能够与前端联动进行排序，直接在SQL参数中传递排序字段和排序规则。
但是，在调试时偶然发现，当传递的“orderBy”值为不存在的字段时，竟然不会报错！！！
经过进一步调试发现，实际上并不会按照预期的排序规则返回数据列表！！！

原因分析

设置log4j的日志级别为DEBUG后发现，最终执行的SQL语句是一个预编译操作，mybatis输出日志如下：

==> Preparing: select * from account order by ? ? limit ?, ?
==> Parameters: loginName(String), DESC(String), 0(Integer