mybatis order by 排序

在使用MyBatis解析xml进行排序的时候，遇见排序无效的问题！

#将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：order by #{user_id}，如果传入的值是111,那么解析成sql时的值为order by “111”, 如果传入的值是id，则解析成的sql为order by “id”。
$将传入的数据直接显示生成在sql中。如：order by ${user_id}，如果传入的值是111,那么解析成sql时的值为order by 111, 如果传入的值是id，则解析成的sql为order by id。
方式能够很大程度防止sql注入。
$方式无法防止Sql注入。
$方式一般用于传入数据库对象，例如传入表名。
一般能用#的就别用$。

所以order by 之后要使用$而非#。

附解决代码段：

其中orderByField就是传入进行排序的参数值！





<choose>




  <when test="orderByField != null and orderByField !=''">




    <choose><when test="isAsc == true">




      order by ${orderByField} ASC



  </when>




  <otherwise>




    order by ${orderByField} DESC



  </otherwise></choose>




  </when>





<otherwise>




  order by id DESC

</otherwise></choose>




  ORDER BY




        <choose>




        <when test="sort!=null">




                #{sort,jdbcType=VARCHAR}



            <if test="order!=null">




                #{order,jdbcType=VARCHAR}



            </if>




        </when>




        <otherwise>




            id asc , create_time asc



        </otherwise>




     </choose>

原因是: #{order,jdbcType=VARCHAR},MyBatis会自动将排序字段当成一个字符串,等同于order by ‘create_time’ ‘desc’,可以通过执行,但无效,与order by create_time desc结果不同
解决方法: 使用order,Mybatis会将其视作直接变量，变量替换成功后，不会再加上引号成为字符串,同样排序顺序也一样

{order},因此




  ORDER BY




        <choose>




        <when test="sort!=null">




                ${sort}



            <if test="order!=null">




                ${order}



            </if>




        </when>




        <otherwise>




            id asc , create_time asc



        </otherwise>




     </choose>

#能很大程度的防止SQL注入 $无法防止Sql注入 $用于传入数据库对象 <![CDATA[]]>，在该符号内的语句，不会被当成字符串来处理，而是直接当成sql语句，比如要执行一个存储过程。在mapper文件中写sql语句时，遇到特殊字符时，如：< > 等，建议使用

秒客网

mybatis order by 排序

方式能够很大程度防止sql注入。

所以order by 之后要使用$而非#。

相关文章