ibatis中的like用法

[sweat89]

比如：
select * from emp where title like '%$title$%'
能查出结果，但是你懂得，有sql injection。

换这种：
select * from emp where title like '%' || #title# || '%'

日志打印出来的SQL是：
select * from emp where title like '%' || ? || '%'

在线等。。。

[xingfuzhuzi1314]

我就是用的select * from emp where title like '%' || #title# || '%' ，LZ你不能查询出结果吗？ sqlid的参数类型，一般都是Map,或者String

<select id="getAddressPoolConfigCount" resultClass="Integer"
		parameterClass="Map">
		select count(*) from TMS_ADDRESS_POOL_CONFIG tapc, SYS_CITY
		sc,SYS_PROVINCE sp where tapc.PROVINCE_ID = sp.PROVINCE_ID and
		tapc.CITY_ID = sc.CITY_ID
		<isNotEmpty prepend="AND" property="provinceId">
			tapc.PROVINCE_ID like '%' || #provinceId#|| '%'
		</isNotEmpty>
		<isNotEmpty prepend="AND" property="cityId">
			tapc.CITY_ID like '%' || #cityId#|| '%'
		</isNotEmpty>
		<isNotEmpty prepend="AND" property="configFlag">
			tapc.CONFIG_FLAG like '%' || #configFlag#|| '%'
		</isNotEmpty>
	</select>

[sweat89]

引用 1 楼 xingfuzhuzi1314 的回复:

我就是用的select * from emp where title like '%' || #title# || '%' ，LZ你不能查询出结果吗？ sqlid的参数类型，一般都是Map,或者StringJava code??123456789101112131415<select id="getAddressPoolConfigCount" resultClas……

我的参数不是MAP，是parameterClass，按理说它会调用VO的getTitle方法取值吧。跟参数无关吧

[Whu_benluobo]

select * from emp where title like '%$title$%' 能查出结果，但是你懂得，有sql injection。 ibatis不会有SQL注入 楼主写的就是对的 就这么用没问题的

[sweat89]

呵呵，找到原因了。 我用的是mysql，而mysql的字符串连接操作是用concat而非 ||

[sweat89]

引用 3 楼 Whu_benluobo 的回复:

select * from emp where title like '%$title$%' 能查出结果，但是你懂得，有sql injection。 ibatis不会有SQL注入 楼主写的就是对的 就这么用没问题的

好像会有注入的哦。。