Mybatis動態傳入order by 引數的時候不生效的問題解決方案

FeelTouch發表於2019-01-30
MyBatis

預設情況下，使用#{}格式的語法會導致MyBatis建立預處理語句屬性並以它為背景設定安全的值（比如?）。這樣做很安全，很迅速也是首選做法，有時你只是想直接在SQL語句中插入一個不改變的字串。比如，像ORDER BY，你可以這樣來使用：
ORDER BY ${columnName}
這裡MyBatis不會修改或轉義字串。
重要：接受從使用者輸出的內容並提供給語句中不變的字串，這樣做是不安全的。這會導致潛在的SQL隱碼攻擊，因此你不應該允許使用者輸入這些欄位，或者通常自行轉義並檢查。

總的來說，就是order by 傳參的時候要用$符號，用#不生效（儘管你在控制檯看到的生成語句是正確的，但是結果就是不對！！^_^，這個記住就好了。）。

原文：https://blog.csdn.net/u012685794/article/details/52022417 

相關文章