mybatis-plus自定义插件解决模糊查询特殊字符转义问题

最新推荐文章于 2024-12-26 14:32:19 发布

一湫1959

最新推荐文章于 2024-12-26 14:32:19 发布

阅读量3.5k

点赞数 5

分类专栏： Utils 文章标签： mybatis mysql java

本文链接：https://blog.youkuaiyun.com/yiqiu1959/article/details/128015577

版权

本文介绍了如何在Mybatis-Plus中自定义一个拦截器（InnerInterceptor）来处理模糊查询时的特殊字符转义问题，避免因未转义特殊字符导致的SQL注入风险。通过拦截器，可以统一处理所有like查询的参数，减少代码重复，提高安全性。同时，文章提供了详细的代码实现和配置方法，以及注意事项，如拦截器的添加顺序对分页查询的影响。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

这里是针对mybatis-plus的模糊查询插件（InnerInterceptor），我看网上很多都是在mybatis层面做拦截器（Interceptor），最后不是没生效，就是导致原先自己的 mapper 实体报错等问题。

背景：MySQL模糊查询时，如果前端传了特殊字符而后端没有对特殊字符转义的话，特殊字符就会被识别为SQL中的特殊字符，发挥其特殊字符的含义，如占位符’_‘、’%‘等，如需MySQL将这些字符识别为普通字符，则需要在其前面加上转义符，默认是反斜杠，即变为’_‘、’%'即可。

但是每个查询的地方都加转义，又麻烦又容易遗漏，所以借鉴类似AOP的思想，加一层拦截来解决，如果你的orm框架使用的mybatis-plus，则可以通过实现一个自定义插件解决，mybatis也有类似插件规范。

要求mybatis-plus的版本(starter)>=3.4.0

直接无脑上代码复制粘贴就行
1、写拦截器插件

import cn.hutool.core.bean.BeanUtil;
import cn.hutool.core.lang.Filter;
import cn.hutool.core.util.StrUtil;
import com.baomidou.mybatisplus.core.conditions.AbstractWrapper;
import com.baomidou.mybatisplus.extension.plugins.inner.InnerInterceptor;
import org.apache.ibatis.executor.Executor;
import org.apache.ibatis.mapping.BoundSql;
import org.apache.ibatis.mapping.MappedStatement;
import org.apache.ibatis.session.ResultHandler;
import org.apache.ibatis.session.RowBounds;

import java.sql.SQLException;
import java.util.HashSet;
import java.util.Map;
import java.util.Set;

/**
 * 自定义mybatis-plus拦截器, 用于转义模糊查询参数中的特殊字符
 *
 * @author wangjingyang
 * @date 2021/6/24 10:33
 */
public class EscapeLikeSqlInterceptor implements InnerInterceptor {
   
    /**
     * 点
     */
    public static final String DOT = ".";

    /**
     * 按?分割字符串表达式
     */
    public static final String PLACEHOLDER_REGEX = "\\?";

    /**
     * 按.分割字符串表达式
     */
    public static final String DOT_REGEX = "\\.";

    /**
     * like操作通配符
     */
    public static final char LIKE_WILDCARD_CHARACTER = '%';

    /**
     * like操作通常会存在的占位符形式
     */
    public static final String PLACEHOLDER = " ?";

    /**
     * 条件构造器生成sql特有的参数名前缀
     */
    public static final String WRAPPER_PARAMETER_PROPERTY = "ew.paramNameValuePairs.";

    /**
     * like语句在sql中的字符串
     */
    private final String LIKE_SQL = " like ";

    private static final String SQL_SPECIAL_CHARACTER = "_%*@|&()[]\"'\\";

    /**
     * 不应用此拦截器的参数名,方法参数中有此名称的参数则不应用此拦截器
     */
    private final String IGNORE = "EscapeLikeSqlIgnore";

    @Override
    public void beforeQuery(Executor executor, MappedStatement ms, Object parameter, RowBounds rowBounds, ResultHandler resultHandler, BoundSql boundSql) throws SQLException {
   
        if (parameter instanceof Map) {
   
            Map<?, ?> parameterMap = (

最低0.47元/天解锁文章