mybatis 的坑

ddddd 11:37:06
传进来参数都会空,这个表记录全部被删了?
rrrrr 11:37:12
是的
rrrrr11:37:40
只是想表达,一个很容易被忽略的容易出bug的地方
rrrrrr11:38:04
在上层也没做参数非空校验,sql也这样写的场景下
很容易有这种漏洞
rrrrrr 11:38:44
结论是以后制定项目规范时
delete语句不要带if
ccccc 11:38:52
双击查看原图我也干过
ccccc 11:38:58
我的是update
cccccc 11:39:16
结果传进来的参数是null,全表更新
cccccc11:39:26
我学过,但是没有用过mybatis双击查看原图
xxxxxxx 11:40:02
都是很低级和粗浅的bug
xxxxxx 11:40:24
确实容易忽略这个bug
ddddd11:40:52
有时只传一个参数,也有bug
ccccccc11:41:16
updateByPrimaryKey不写if
xxxxxx 11:41:18
阿里有自己的orm框架么
vvvvvvvv11:41:46
你们写的时候习惯加上!=‘’么
sssssss 11:41:49
delete也一样
ccccccc 11:41:55

xxxxxx 11:41:56
这里有两个delete的where条件
userid和id
作者本意应该是:用userid做类似于(只有本人才可以删自己数据的校验),id是删除数据的依据

但如果传过来的id为空的话
结果本人下的数据全都删除了
xxxxxxxxx11:42:13
我会加上!=''
xxxxxxxx 11:42:34
有时候
<where>
if(会有七八个,十几个这么多)
<where>

漏掉一两个在前端没校验是很容易的
xxxxxxxx 11:42:51
尤其集合基类
xxxxxxxx 11:43:21
就造成
本意是 id集合不传,一个都不动
结果编程id集合不传,所有的数据都变了(删了)
xxxxxxxxxxx 11:43:56
这个还真没注意到
xxxxxxxx) 11:44:10
看来要强加一个!=
淡(dddd) 11:44:28
必须条件不要加
xxxxxxx) 11:44:46
!=‘’只针对字符串类型
对集合类型没用
小八(df) 11:44:56
并且不是这个意思
小八(ff) 11:45:08

淡(ff) 11:45:17
上个月就因为这个,我把一张表的其中一个字段全部update了
小八(ff) 11:45:18
再看下这条简单的sql
小八(ff) 11:45:38
就是因为条件不满足,所以才删全表
梅小西(ff) 11:46:47
那就是说sql没法做到验证咯
小八(ff) 11:46:48
我要表达的意思是
update和delete,最好没有动态条件
梅小西(fff) 11:46:51
只能逻辑层验证么
小八(fff) 11:47:25
有了动态条件,当动态条件里的if xxx不满足时
反而会变成,不满足条件的所有数据被更新(或删除)
小八(fff) 11:48:05
满足动态条件,就是部分数据更新(删除)
不满足动态条件,所有数据被更新(删除)
这是一个很容易被忽略的漏洞
淡(fff) 11:49:55
sql可以验证啊,不过很麻烦
淡(fff) 11:50:16
一两个字段还好,多了就很难看
淡(fff) 11:50:52
if test里写一大堆|| &&看着难看
小八(fff) 11:53:50
结论是,delete和update别加if做动态条件
淡(fff) 11:54:13
自动生成的mapper文件,ByPrimaryKey都没有if的
淡(ffff) 11:54:30
byExample有
### MyBatis 使用存储过程的常见问题及解决方法 在使用 MyBatis 调用存储过程中,可能会遇到多种问题。以下是常见的问题及其解决方案: #### 1. **参数模式不匹配** 如果存储过程的参数模式(`IN`、`OUT` 或 `INOUT`)与 MyBatis 中定义的模式不一致,可能会导致调用失败。 - 解决方案:确保 MyBatis 配置文件中的参数模式与数据库中存储过程的定义完全一致[^3]。 #### 2. **返回值无法正确映射** 当存储过程返回的结果集字段名与 Java 对象属性名不一致时,MyBatis 可能无法正确映射返回值。 - 解决方案:可以使用 `resultMap` 标签进行字段与属性的映射[^4],或者在 SQL 查询中为字段指定别名以匹配 Java 属性名。 #### 3. **存储过程无返回值时配置错误** 如果存储过程没有返回结果集,但在 MyBatis 配置中仍然使用了 `<select>` 标签,可能会导致异常。 - 解决方案:对于无返回值的存储过程,应使用 `<update>` 标签代替 `<select>` 标签[^5]。 #### 4. **事务管理问题** 在复杂操作中,如果存储过程和程序逻辑的事务管理不一致,可能导致数据一致性问题。 - 解决方案:将存储过程封装的操作与应用程序的事务处理结合在一起使用[^2],确保所有操作在同一个事务上下文中完成。 #### 5. **出参类型不匹配** 如果存储过程的出参类型与 MyBatis 中定义的 `jdbcType` 不匹配,可能会导致类型转换异常。 - 解决方案:确保 MyBatis 配置文件中的 `jdbcType` 与数据库中存储过程的出参类型一致[^3]。 #### 6. **动态 SQL 的兼容性问题** 在某些情况下,使用动态 SQL 调用存储过程可能会导致语法错误。 - 解决方案:确保动态 SQL 的生成结果符合存储过程的调用语法,并进行充分测试。 #### 7. **连接池超时** 如果存储过程执行时间过长,可能导致连接池中的连接被耗尽或超时。 - 解决方案:优化存储过程的性能,或者调整数据库连接池的超时设置。 #### 8. **多结果集处理** 某些存储过程可能返回多个结果集,而 MyBatis 默认只处理第一个结果集。 - 解决方案:通过自定义 MyBatis 的结果处理器(ResultHandler)来处理多个结果集。 --- ### 示例代码 以下是一个完整的 MyBatis 调用存储过程的示例,包含入参、出参和返回值的处理: ```xml <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN" "http://mybatis.org/dtd/mybatis-3-mapper.dtd"> <mapper namespace="com.example.mapper.ProcedureMapper"> <!-- 调用存储过程 --> <select id="callStoredProcedure" parameterType="map" statementType="CALLABLE" resultMap="resultMap"> { #{outParam, mode=OUT, jdbcType=VARCHAR} = CALL my_stored_procedure( #{inParam1, mode=IN, jdbcType=INTEGER}, #{inParam2, mode=IN, jdbcType=VARCHAR} ) } </select> <!-- 结果映射 --> <resultMap id="resultMap" type="com.example.model.ResultModel"> <result property="orderName" column="order_name"/> </resultMap> </mapper> ``` --- ###
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值