mybatis框架order by作為參數(shù)傳入時(shí)失效的解決
mybatis order by作為參數(shù)傳入失效
mxl中的語(yǔ)句如下
<select id="statToday" resultType="com.dahua.la.business.model.vo.StatSysResultVO">
select a,
b,
count(1) as total
from table
where a is not null
and b is not null
and operateTime >= #{startTime,jdbcType=TIMESTAMP}
and operateTime <= #{endTime,jdbcType=TIMESTAMP}
group by a, b
order by
<foreach collection="orderItems" item="item" separator=",">
#{item.orderBy} #{item.order}
</foreach>
</select>
運(yùn)行時(shí)通過(guò)日志打印出sql日志如下
select a, b, count(1) as total from table where a is not null and b is not null and operateTime >= ? and operateTime <= ? group by a, b order by ? ?
把參數(shù)補(bǔ)充上拿到Navicat執(zhí)行的時(shí)候，完全沒(méi)有問(wèn)題，排序也正常。
但是在代碼里執(zhí)行就是不行, 最后的排序完全沒(méi)有生效。
實(shí)際上，我補(bǔ)上參數(shù)的時(shí)候漏了引號(hào)，因?yàn)?{item.orderBy}會(huì)對(duì)傳入的數(shù)據(jù)加一個(gè)引號(hào)，如果帶著引號(hào)去Navicat執(zhí)行，也是排序不生效的。
問(wèn)題原因找到了
直接替換成使用${item.orderBy}形式，單純的字符串替換不加引號(hào)。
<foreach collection="orderItems" item="item" separator=",">
${item.orderBy} ${item.order}
</foreach>
此時(shí)程序正常。
MyBatis排序時(shí)使用order by 動(dòng)態(tài)參數(shù)時(shí)需要注意，用$而不是#
字符串替換
默認(rèn)情況下，使用#{}格式的語(yǔ)法會(huì)導(dǎo)致MyBatis創(chuàng)建預(yù)處理語(yǔ)句屬性并以它為背景設(shè)置安全的值（比如?）。
這樣做很安全，很迅速也是首選做法，有時(shí)你只是想直接在SQL語(yǔ)句中插入一個(gè)不改變的字符串。
比如，像ORDER BY，你可以這樣來(lái)使用：
ORDER BY ${columnName}
這里MyBatis不會(huì)修改或轉(zhuǎn)義字符串。
重要：
接受從用戶輸出的內(nèi)容并提供給語(yǔ)句中不變的字符串，這樣做是不安全的。
這會(huì)導(dǎo)致潛在的SQL注入攻擊，因此你不應(yīng)該允許用戶輸入這些字段，或者通常自行轉(zhuǎn)義并檢查。
以上為個(gè)人經(jīng)驗(yàn)，希望能給大家一個(gè)參考，也希望大家多多支持腳本之家。
相關(guān)文章
簡(jiǎn)單實(shí)現(xiàn)Java web服務(wù)器
這篇文章主要為大家詳細(xì)介紹了簡(jiǎn)單實(shí)現(xiàn)Java web服務(wù)器的詳細(xì)步驟，感興趣的小伙伴們可以參考一下2016-06-06
詳解如何為SpringBoot項(xiàng)目中的自定義配置添加IDE支持
這篇文章主要介紹了詳解如何為SpringBoot項(xiàng)目中的自定義配置添加IDE支持，文中通過(guò)示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2021-02-02
下面小編就為大家分享一篇SSM 整合的配合文件，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。一起跟隨小編過(guò)來(lái)看看吧2017-12-12
maven項(xiàng)目無(wú)法讀取到resource文件夾的問(wèn)題
這篇文章主要介紹了maven項(xiàng)目無(wú)法讀取到resource文件夾的問(wèn)題，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。如有錯(cuò)誤或未考慮完全的地方，望不吝賜教2021-11-11
這篇文章主要介紹了Java多線程之間日志traceId傳遞方式,具有很好的參考價(jià)值,希望對(duì)大家有所幫助,如有錯(cuò)誤或未考慮完全的地方,望不吝賜教2023-08-08
Spring Boot 文件上傳原理其實(shí)就是Spring MVC，因?yàn)檫@部分工作是Spring MVC做的而不是Spring Boot，那么，SpringMVC又是怎么處理文件上傳這個(gè)過(guò)程的呢？下面通過(guò)本文給大家詳細(xì)介紹下，一起看看吧2018-03-03
這篇文章主要為大家詳細(xì)介紹了java實(shí)現(xiàn)二分法的完整代碼，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下2018-11-11
這篇文章主要介紹了Servlet虛擬路徑映射配置詳解，文中通過(guò)示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2020-02-02
SpringBoot mybatis 實(shí)現(xiàn)多級(jí)樹(shù)形菜單的示例代碼
這篇文章主要介紹了SpringBoot mybatis 實(shí)現(xiàn)多級(jí)樹(shù)形菜單的示例代碼,代碼簡(jiǎn)單易懂，對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值，需要的朋友可以參考下2021-05-05
Java實(shí)現(xiàn)批量修改文件名和重命名的方法
這篇文章主要介紹了Java實(shí)現(xiàn)批量修改文件名和重命名的方法，文中通過(guò)示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2020-09-09