Mybatis 模糊搜索参数有单引号怎么处理

2018-11-16 02:55:36 1.5k 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

Mybatis模糊匹配查询遇到的问题 Mybatis模糊匹配查询遇到的问题做项目的时候遇到一个需要进行模糊匹配的功能，刚开始也不太了解Mybatis模糊查询有什么特殊的要求，然后就按照之前的写法做了。一开始的mapper.xml的语句我是这么写的 <select id="selectByTitle" resultMap="resultMap" parameterType="java.lang.String"> select * from news where content like '%#{content}%' 阅读详情

mapper中参数 concat('%',#{searchValue},'%') 这样写的。
当searchValue 参数中有英文单引号就炸了，请各位大神给个解决方案。在这谢过了

...全文

SQL注入防御实战：从原理到多层次防护体系构建 SQL注入作为Web安全领域的经典漏洞，其本质是应用程序对用户输入数据过度信任，将其直接拼接到SQL语句中执行，导致攻击者能够操纵数据库查询逻辑。从技术原理层面看，这源于程序未将代码与数据严格分离，使得恶意输入被解析为SQL指令而非普通参数值。在工程实践中，防御SQL注入的核心技术价值在于构建纵深安全体系，确保数据层的可靠性与完整性。应用场景广泛覆盖用户登录、数据查询、API接口等所有涉及数据库交互的功能模块。本文通过剖析参数化查询、输入验证等热词技术，并结合WAF部署、安全监控等热词实践，系统阐述如何从编阅读详情

苍云烟

Web 开发 81,108 成员 341,721 内容

+ 关注 + 加入社区

切换为时间正序

逆行而上 2018-12-06

打赏
举报

paramName like '%${paramName }%' 直接这样就可以了，前面的数据库字段，后面的入参

源氏程序员 2018-12-06

打赏
举报

如果是oracle可以使用instr(t.acc_name,#{searchValue})>0

江北雪 2018-11-21

打赏
举报

你也可以在外面拼接%% 传入在参数为 searchValue = “%a'b%” select * from tablename where colname like #{searchValue,jdbcType=VARCHAR}

江北雪 2018-11-21

打赏
举报

在传入参数前做转义， ' 替换为 ‘’

nayi_224 2018-11-20

打赏
举报

怎么个炸法？我这没报错啊，虽然是ibatis的。

		Map<String, String> map = new HashMap();
		map.put("aaa", "aa'aa'aa");
		System.out.println(client.queryForList("blog.test", map).size());

<sqlMap namespace="blog">

	<select id="test" resultClass="java.util.LinkedHashMap">
select 111 from dual
where #aaa# is not null
	</select>

2018-11-20 20:03:40,469 [java.sql.Connection]-[DEBUG] {conn-100000} Connection
2018-11-20 20:03:40,472 [java.sql.Connection]-[DEBUG] {conn-100000} Preparing Statement:  select 111 from dual where ? is not null  
2018-11-20 20:03:40,621 [java.sql.PreparedStatement]-[DEBUG] {pstm-100001} Executing Statement:  select 111 from dual where ? is not null  
2018-11-20 20:03:40,621 [java.sql.PreparedStatement]-[DEBUG] {pstm-100001} Parameters: [aa'aa'aa]
2018-11-20 20:03:40,621 [java.sql.PreparedStatement]-[DEBUG] {pstm-100001} Types: [java.lang.String]
1