mybatis order by 排序
2018-03-07 14:41
1661 查看
在使用MyBatis解析xml进行排序的时候,遇见排序无效的问题!#将传入的数据都当成一个字符串,会对自动传入的数据加一个双引号。如:order by #{user_id},如果传入的值是111,那么解析成sql时的值为order by “111”, 如果传入的值是id,则解析成的sql为order by “id”。$将传入的数据直接显示生成在sql中。如:order by ${user_id},如果传入的值是111,那么解析成sql时的值为order by 111, 如果传入的值是id,则解析成的sql为order by id。
方式能够很大程度防止sql注入。
$方式无法防止Sql注入。$方式一般用于传入数据库对象,例如传入表名。一般能用#的就别用$。所以order by 之后要使用$而非#。
附解决代码段:其中orderByField就是传入进行排序的参数值!<choose> <when test="orderByField != null and orderByField !=''"> <choose><when test="isAsc == true"> order by ${orderByField} ASC </when> <otherwise> order by ${orderByField} DESC </otherwise></choose> </when> <otherwise> order by id DESC
</otherwise></choose>
ORDER BY <choose> <when test="sort!=null"> #{sort,jdbcType=VARCHAR} <if test="order!=null"> #{order,jdbcType=VARCHAR} </if> </when> <otherwise> id asc , create_time asc </otherwise> </choose>原因是: #{order,jdbcType=VARCHAR},MyBatis会自动将排序字段当成一个字符串,等同于order by ‘create_time’ ‘desc’,可以通过执行,但无效,与order by create_time desc结果不同解决方法: 使用order,Mybatis会将其视作直接变量,变量替换成功后,不会再加上引号成为字符串,同样排序顺序也一样{order},因此
ORDER BY <choose> <when test="sort!=null"> ${sort} <if test="order!=null"> ${order} </if> </when> <otherwise> id asc , create_time asc </otherwise> </choose>
#能很大程度的防止SQL注入
$无法防止Sql注入
$用于传入数据库对象
<![CDATA[]]>,在该符号内的语句,不会被当成字符串来处理,而是直接当成sql语句,比如要执行一个存储过程。在mapper文件中写sql语句时,遇到特殊字符时,如:< > 等,建议使用
相关文章推荐
- mybatis ORDER BY排序问题
- hibernate注解排序@orderBy
- Mysql中文排序order by covert
- row_number() over (partition by....order by...)用法 分组排序
- oracle-union order by rownum排序与取数
- order by case when then end指定排序
- sql order by按俩个字段排序
- mysql order by field 按指定字段排序
- mysql order by 中文 排序
- linq order by charindex 排序 按给定字符串顺序排序
- Sql order by 数据排序 优先级问题
- sql按查询结果第一列排序 (order by+数字)
- mysql union order by 分别排序问题
- oracle order by 排序优化
- EntityFramework 7 OrderBy Skip Take-计算排序分页 SQL 翻译
- 排序用法 order by asc desc
- MYSQL order by排序与索引关系总结
- mysql 5.7.15 union order by 子查询排序不生效
- T-SQL查询: TOP N [PERCENT] WITH TIES ORDER BY 顺序排序实例
- MySQL如何利用索引优化ORDER BY排序语句