ibatis和mybatis like

秒速五厘米 2022-06-07 20:37 202阅读 0赞

# [ibatis中使用like模糊查询][ibatis_like] #

**Mybatis技术学习，更多知识请访问[https://www.itkc8.com][https_www.itkc8.com]**

display\_name like '%'||\#\{displayName\}||'%'

display\_name like concat('%',\#\{displayName\},'%')

用$有sql攻击

无效的方法,：

select  *  from table1 where name like '%#name#%'

两种有效的方法： 1) 使用$代替\#。此种方法就是去掉了类型检查，使用字符串连接，不过可能会有sql注入风险。

select  *  from table1 where name like '%$name$%'

2) 使用连接符。不过不同的数据库中方式不同。

mysql：

select  *  from table1 where name like concat('%', #name#, '%')

oracle:

select  *  from table1 where name like '%' || #name# || '%'

sql server:

select  *  from table1 where name like '%' + #name# + '%'

# [MyBatis中Like语句使用方式][MyBatis_Like] #

> Oracle

<table style="width:667px;"> 
 <tbody> 
 <tr> 
 <td style="border-color:#c0c0c0;vertical-align:baseline;"> <code>SELECT</code> <code>* </code> <code>FROM</code> <code>user</code> <code>WHERE</code> <code>name</code>&nbsp;<code>LIKE</code>&nbsp;<code>CONCAT(</code><code>'%'</code><code>,#{ </code><code>name</code><code>},</code><code>'%'</code><code>) </code> <code>或 </code> <code>SELECT</code> <code>* </code> <code>FROM</code> <code>user</code> <code>WHERE</code> <code>name</code>&nbsp;<code>LIKE</code>&nbsp;<code>'%'</code><code>||#{ </code><code>name</code><code>}||</code><code>'%'</code> </td> 
 </tr> 
 </tbody> 
</table>

> SQL Server

> MySQL

> DB2

<table style="width:667px;"> 
 <tbody> 
 <tr> 
 <td style="border-color:#c0c0c0;vertical-align:baseline;"> <code>SELECT</code> <code>* </code> <code>FROM</code> <code>user</code> <code>WHERE</code> <code>name</code>&nbsp;<code>LIKE</code>&nbsp;<code>CONCAT(</code><code>'%'</code><code>,#{ </code><code>name</code><code>},</code><code>'%'</code><code>)</code> <code>或 </code> <code>SELECT</code> <code>* </code> <code>FROM</code> <code>user</code> <code>WHERE</code> <code>name</code>&nbsp;<code>LIKE</code>&nbsp;<code>'%'</code><code>||#{ </code><code>name</code><code>}||</code><code>'%'</code> </td> 
 </tr> 
 </tbody> 
</table>

> 通用

<table style="width:667px;"> 
 <tbody> 
 <tr> 
 <td style="border-color:#c0c0c0;vertical-align:baseline;"> <code>SELECT</code> <code>* </code> <code>FROM</code> <code>user</code> <code>WHERE</code>&nbsp;<code>1 = 1</code> <code>&lt;if test=</code><code>"name != null and name != ''"</code><code>&gt;</code> <code>&lt;bind </code><code>name</code><code>=</code><code>"pattern"</code>&nbsp;<code>value=</code><code>"'%' + _parameter.name + '%'"</code>&nbsp;<code>/&gt;</code> <code>AND</code>&nbsp;<code>name</code>&nbsp;<code>LIKE</code>&nbsp;<code>#{pattern}</code> <code>&lt;/if&gt;</code> </td> 
 </tr> 
 </tbody> 
</table>

**Mybatis技术学习，更多知识请访问[https://www.itkc8.com][https_www.itkc8.com]**

[ibatis_like]: http://www.cnblogs.com/gaojing/archive/2012/11/22/2844932.html
[https_www.itkc8.com]: https://www.itkc8.com/
[MyBatis_Like]: http://www.cnblogs.com/icewee/articles/6927841.html