Mybatis 模糊搜索参数有单引号怎么处理

[苍云烟]

mapper中参数 concat('%',#{searchValue},'%') 这样写的。
当searchValue 参数中有 英文单引号 就炸了，请各位大神给个解决方案。在这谢过了

[G.Jagger]

把单引号转义一下呗，后台用replace方法把单引号替换掉

[苍云烟]

就是有没有一次性转译所有的请求参数

[咸哼酒家]

#{searchValue} #的意义在于预编译类型转化
既然参数以及有了引号，改为这个就可以了，

concat('%',${searchValue},'%')

[Nihility/]

#{searchValue} 改为 ${searchValue}

[张沐晗]

后台程序将传入的参数处理一下，这是最有效的方法吧

[天涯若风]

你这是考虑到防sql注入嘛

[nayi_224]

怎么个炸法？我这没报错啊，虽然是ibatis的。

		Map<String, String> map = new HashMap();
		map.put("aaa", "aa'aa'aa");
		System.out.println(client.queryForList("blog.test", map).size());

<sqlMap namespace="blog">

	<select id="test" resultClass="java.util.LinkedHashMap">
select 111 from dual
where #aaa# is not null
	</select>

2018-11-20 20:03:40,469 [java.sql.Connection]-[DEBUG] {conn-100000} Connection
2018-11-20 20:03:40,472 [java.sql.Connection]-[DEBUG] {conn-100000} Preparing Statement:  select 111 from dual where ? is not null  
2018-11-20 20:03:40,621 [java.sql.PreparedStatement]-[DEBUG] {pstm-100001} Executing Statement:  select 111 from dual where ? is not null  
2018-11-20 20:03:40,621 [java.sql.PreparedStatement]-[DEBUG] {pstm-100001} Parameters: [aa'aa'aa]
2018-11-20 20:03:40,621 [java.sql.PreparedStatement]-[DEBUG] {pstm-100001} Types: [java.lang.String]
1

[江北雪]

在传入参数前做转义， ' 替换为 ‘’

[江北雪]

你也可以在外面拼接%% 传入在参数为 searchValue = “%a'b%” select * from tablename where colname like #{searchValue,jdbcType=VARCHAR}

[源氏程序员]

如果是oracle可以使用instr(t.acc_name,#{searchValue})>0

[逆行而上]

paramName like '%${paramName }%' 直接这样就可以了，前面的数据库字段，后面的入参