Mybaits中Like 的使用方式以及一些注意点
做一个积极的人
编码、改bug、提升自己
我有一个乐园，面向编程，春暖花开！
模糊查询在项目中还是经常使用的，本文就简单整理Mybatis中使用Like进行模糊查询的几种写法以及一些常见的问题。
初始数据
方式一
在Mybatis中的第一种写法：
<!--有sql注入问题-->
<select id="findUserByLikeName1" parameterType="java.lang.String" resultMap="user">
select * from t_user where name like '%${name}%'
</select>
复制代码
这种会有sql注入的问题，需要明白在 Mybatis中 $ 和 # 使用的区别。这种写法也不能加 jdbcType=VARCHAR ,否则也会报错。
做了个简单的测试：
@Test
public void findUserByLikeName1(){
List<User> test = userMapper.findUserByLikeName1("Cloud");
//select * from t_user where name like '%Cloud%'
System.out.println(test.size());// 查出一条
List<User> test1 = userMapper.findUserByLikeName1("' or '1=1");
//select * from t_user where name like '%' or '1=1%'
// 分析： '1=1%' 成立
System.out.println(test1.size());// 查出了全部数据
}
复制代码
注意：排序的字段也容易出现这个问题，在使用的时候也一定要注意。
order by ${orderBy}
第一种方式在实际开发过程中千万要注意，不要写成这样了。
方式二
在Mybatis中的第二种写法：
<!--直接在代码中拼接%, 不存在sql注入-->
<select id="findUserByLikeName2" parameterType="java.lang.String" resultMap="user">
select * from t_user where name like #{name,jdbcType=VARCHAR}
</select>
复制代码
在代码中加上 % 。
@Test
public void findUserByLikeName2(){
String name = "Cloud";
List<User> test = userMapper.findUserByLikeName2("%" +name+"%");
// select * from t_user where name like ?
// %Cloud%(String)
System.out.println(test.size());
}
复制代码
这种方式在一些项目中也会看到。如果没有使用如Mybatis等ORM框架，直接写sql查询就这样拼接了。
方式三
在Mybatis中的第三种写法：
<!--concat Mysql和 Oracle区别 ,不存在sql注入-->
<select id="findUserByLikeName3" parameterType="java.lang.String" resultMap="user">
select * from t_user where name like concat('%',#{name,jdbcType=VARCHAR},'%')
</select>
复制代码
测试：
@Test
public void findUserByLikeName3(){
String name = "Cloud";
List<User> test = userMapper.findUserByLikeName3(name);
// select * from t_user where name like concat('%',?,'%')
// Cloud(String)
System.out.println(test.size());
}
复制代码
在实际开发中推荐使用这种方式。
小注意
当使用 方式三 的时候，如果查询的关键字就是 % ，那情况会是什么？ 初始化数据中 name 有9条数据中包含 % 。
查询的sql如下：
select * from t_user where name like concat('%','%','%')
查出来全部的数据，并不是只包含了 % 的数据，如果查询 _ 也是一样的。
那这种情况肯定是不满足查询需求的，则需要调整。
①在代码中进行转义
@Test
public void findUserByLikeName3(){
String name = "%";
name = name.replaceAll("_", "////_");
name = name.replaceAll("%", "////%");
List<User> test = userMapper.findUserByLikeName3(name);
System.out.println(test.size());
}
复制代码
②使用 ESCAPE
<select id="findUserByLikeName4" parameterType="java.lang.String" resultMap="user">
select * from t_user where name like concat('%',#{name,jdbcType=VARCHAR},'%') ESCAPE '/'
</select>
复制代码
测试：
@Test
public void findUserByLikeName4(){
// replaceAll("%", "/%").replaceAll("_", "/_")
String name = "%";
List<User> test = userMapper.findUserByLikeName4(name);
System.out.println(test.size());// 查到全部
List<User> test1 = userMapper.findUserByLikeName4("/" +name);
System.out.println(test1.size());//查到匹配%的记录
}
复制代码
这两种本质都是对查询的关键字进行了处理，这种处理在代码中可以使用拦截器或者AOP等技术统一处理。
小总结
1、不要写方式1的这种模糊查询，容易发生sql注入！
建议使用第三种方式进行模糊查询
2、上面这三种模糊查询，都是使用 %关键字% ，这种方式是不会走索引的，大数据量时候有查询效率问题
看情况，可以使用全文索引；或者使用ES进行
说明：网上有一些优化like的查询的，但是亲测后没啥用
3、注意关键词中有%、_这些特殊字符如何处理。
1、业务上不允许输入这些字符，直接过滤（前台、后台过滤） 2、使用上面的ESCAPE或者转义
备注： 由于本人能力有限,文中若有错误之处,欢迎指正。
谢谢你的阅读，如果您觉得这篇博文对你有帮助，请点赞或者喜欢，让更多的人看到！祝你每天开心愉快！
正文到此结束
热门推荐
相关文章
近期评论
-
666
-
文章和留言都翻到11页了 没有OOM
-
-
朋友，翻页到11页，及以后，会出现OOM，无法访问
-
-
-
-
版本号是多少，你可以下载哪个代码仓库，jdk选1.8 直接跑就行
-
-
Loading...
![[HBLOG]公众号](https://www.liuhaihua.cn/img/qrcode_gzh.jpg)
