如何构筑动态模糊查询语句

2010-09-30 12:30:30 271 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

Java SQL注入漏洞深度解析：从原理到实战审计与修复 SQL注入是一种将用户输入数据误当作代码执行的Web安全漏洞，其核心原理在于程序未对用户输入与SQL指令进行有效分离，导致恶意输入能够改变原始查询的语义。在Java开发中，尽管普遍采用了参数化查询等防护手段，但在动态SQL拼接、框架特性误用等场景下，风险依然存在。理解其技术原理，对于构建安全的应用架构至关重要。通过系统性的代码审计，可以主动发现并修复此类漏洞，提升应用自身的安全水位。本文聚焦于Java生态，深入剖析SQL注入的产生机制，并结合MyBatis、JPA等主流框架，详解在参数化查询、动态排序、IN 阅读详情

select *
from ur
where username = 'gbk'
and jtmk name like (select name from qc where lm_mark = 'gtjl') || '*%')

请问如何构造这个动态语句

请赐教
谢谢
急用

...全文

基于Springboot的党员教育和管理系统的设计与实现 🌟所有项目都经过测试完善。abo开发说明开发语言：Java框架：springbootJDK版本：JDK1.8服务器：tomcat7数据库：mysql5.7（一定要5.7版本）数据库工具：Navicat11开发软件：eclipse/myeclipse/ideaMaven包：Maven3.3.9浏览器：谷歌浏览器后台路径地址：localhost:8080/项目名称/admin/dist/index.html。阅读详情

jumpheightway

基础和管理 17,379 成员 95,111 内容

+ 关注 + 加入社区

切换为时间正序

jumpheightway 2010-10-01

打赏
举报

谢谢大家
想了个办法解决了

iqlife 2010-09-30

打赏
举报

1：直接构造，使用execute immediate执行，类似如下
str_sql:=’insert into dinya_test values(:1,:2)’;
execute immediate str_sql using id,name; --使用了using子句，按顺序将输入的值绑定到变量
2：使用DBMS_SQL包

crazylaa 2010-09-30

打赏
举报

用存储过程吧。like子句不能包含结果集的。

minitoy 2010-09-30

打赏
举报

SQL> select 1 from dual where '12' like  (select 1 from dual)||'%';

 

         1

----------

         1

 

SQL>

酸饼 2010-09-30

打赏
举报

子查询如果只有一条记录，那直接用一条查询就可以了，不用什么动态语句：

select *

from   ur

where  username = 'gbk'

and    jtmk_name like (select name || '*%' from qc where lm_mark = 'gtjl')

注意：%号跟name连在一起，你原先放在子查询后面不行。||只能用在字段上，而不是包含字段的查询结果集
name || '*%'

心中的彩虹 2010-09-30

打赏
举报

[Quote=引用楼主 jumpheightway 的回复:]
select *
from ur
where username = 'gbk'
and jtmk name like (select name from qc where lm_mark = 'gtjl') || '*%')

请问如何构造这个动态语句

请赐教
谢谢
急用
[/Quote]



--或者这样

select a.*

  from ur a,qc b

 where username = 'gbk'

  and instr(a.jtmkname,b.name)>0 and b.lm_mark = 'gtjl'

minitoy 2010-09-30

打赏
举报

select *
from ur
where username = 'gbk'
and jtmk name like (select name from qc where lm_mark = 'gtjl') || '*%')
如果是一个值,你这样写就可以.
不需要什么动态sql.

心中的彩虹 2010-09-30

打赏
举报



--你看看这样

SQL> edi

已写入 file afiedt.buf



  1  declare

  2  v_name qc.name%type;

  3  type cur_type is ref cursor;

  4  cur1 cur_type;

  5  u_name varchar2(10);

  6  u_id varchar2(10);

  7  begin

  8  select name into v_name from qc where lm_mark = 'gtjl' and rownum=1;

  9  open cur1 for 'select username,id from ur where username like  '||''''||v_name||'%'||'''';

 10  fetch cur1 into u_name,u_id ;

 11  while cur1%found loop

 12  dbms_output.put_line(u_name||' '||u_id);

 13  fetch cur1 into u_name,u_id;

 14  end loop;

 15  close cur1;

 16* end;

SQL> /

abc1 1

abc2 2

abc3 3

abc4 4

abc5 5



PL/SQL 过程已成功完成。

iqlife 2010-09-30

打赏
举报

[Quote=引用 3 楼 jumpheightway 的回复:]
select name from qc where lm_mark = 'gtjl'

这个只有一个值

假设这个值是abc

我想得到
select *
from ur
where username = 'gbk'
and jtmk name like 'abc*%'

该如何做
不晓得我说清楚没有
[/Quote]

你先写好SQL语句可以执行得到结果，然后再把SQL作为字符串执行就好了，

gelyon 2010-09-30

打赏
举报

用动态sql去拼接！像这样：http://topic.csdn.net/u/20100930/10/1eb0140c-c04f-4004-a0bd-a5a60f955570.html?48037

jumpheightway 2010-09-30

打赏
举报

select name from qc where lm_mark = 'gtjl'

这个只有一个值

假设这个值是abc

我想得到
select *
from ur
where username = 'gbk'
and jtmk name like 'abc*%'

该如何做
不晓得我说清楚没有

如何构筑动态模糊查询语句

相关推荐