快捷導(dǎo)航

mybatis直接執(zhí)行完整sql及踩坑解決

更新時(shí)間：2025年09月27日 14:15:08 作者：StrongerB

MyBatis可通過(guò)select標(biāo)簽執(zhí)行動(dòng)態(tài)SQL,DQL用List<LinkedHashMap>接收結(jié)果,DML用int處理,注意防御SQL注入,優(yōu)先使用#{}參數(shù),資源目錄需規(guī)范路徑,避免綁定異常；數(shù)據(jù)庫(kù)字段避免關(guān)鍵字,防止轉(zhuǎn)義問(wèn)題

mybatis直接執(zhí)行完整sql及踩坑

開(kāi)發(fā)中有時(shí)遇到將表名或者完整sql作為參數(shù)去執(zhí)行，與一般情況下的增刪改查傳參數(shù)或者對(duì)象不同，mybatis也是可以直接執(zhí)行sql語(yǔ)句的，這個(gè)時(shí)候如何sql的返回值不太好處理，大致分為DQL和DML兩種情況。

select語(yǔ)句采用

List<LinkedHashMap<String , Object>>接收，這樣可以保證查詢結(jié)果的字段有序輸出，查詢結(jié)果如果是空會(huì)返回'[]'

List<LinkedHashMap<String , Object>> executeQuerySql(@Param("sql") String sql);

count、insert、update等語(yǔ)句用int接收即可

int executeCountSql(@Param("sql") String sql);

在xml中的標(biāo)簽統(tǒng)一用select即可

如下：

<select id="executeQuerySql" resultType="java.util.LinkedHashMap" parameterType="String">
        ${sql}
    </select>
    <select id="executeCountSql" resultType="java.lang.Integer" parameterType="String">
        ${sql}
    </select>

這時(shí)要注意預(yù)防sql注入

#{}拼接參數(shù)可以很大程度上的防止sql注入，${}卻不行，做法可以使用PrepareStateMent預(yù)編譯進(jìn)行防范，或者簡(jiǎn)單粗暴的對(duì)sql進(jìn)行識(shí)別過(guò)濾一下

例如：

public static boolean sqlValidate(String sql) {
        String badStr = "'|and|exec|execute|insert|select|delete|update|count|drop|*|%|chr|mid|master|truncate|" +
                "char|declare|sitename|net user|xp_cmdshell|;|or|-|+|,|like'|and|exec|execute|insert|create|drop|" +
                "table|from|grant|use|group_concat|column_name|" +
                "information_schema.columns|table_schema|union|where|select|delete|update|order|by|count|*|" +
                "chr|mid|master|truncate|char|declare|or|;|-|--|+|,|like|//|/|%|#";//過(guò)濾掉的sql關(guān)鍵字，可以手動(dòng)添加
        String[] badSplit = badStr.split("\\|");
        for (String s : badSplit) {
            if (sql.contains(s)) {
                return true;
            }
        }
        return false;
    }
}