MyBatis增删改查：静态与动态SQL语句拼接及SQL注入问题解析
MyBatis 是一个优秀的持久层框架，它支持定制化 SQL、存储过程以及高级映射。MyBatis 避免了几乎所有的 JDBC 代码和手动设置参数以及获取结果集的工作。本文将深入探讨 MyBatis 中的增删改查操作，重点讲解静态与动态 SQL 语句的拼接，并分析 SQL 注入问题及其防范措施。
1. MyBatis 基础配置
在开始之前，我们需要配置 MyBatis 的基本环境。以下是一个简单的 pom.xml 配置文件，包含了 MyBatis 的核心依赖和 MySQL 驱动依赖：
<dependencies><!-- MyBatis 核心包 --><dependency><groupId>org.mybatis</groupId><artifactId>mybatis</artifactId><version>3.4.5</version></dependency><!-- MySQL 驱动包 --><dependency><groupId>mysql</groupId><artifactId>mysql-connector-java</artifactId><version>5.1.6</version></dependency><!-- 单元测试 --><dependency><groupId>junit</groupId><artifactId>junit</artifactId><version>4.10</version></dependency><!-- 日志 --><dependency><groupId>log4j</groupId><artifactId>log4j</artifactId><version>1.2.17</version></dependency>
</dependencies>2. 静态 SQL 语句
静态 SQL 语句是指在编写 SQL 时，SQL 语句的结构和内容是固定的，不会根据条件的变化而变化。以下是一个简单的静态 SQL 查询示例：
<!--id:方法名--><!--resultType:定义数据的返回-->
<!-- <select id="findAll" resultType="com.qcby.entity.User">-->
<!-- select *from user;-->
<!-- </select>--><!-- <select id="findById" resultType="com.qcby.entity.User" parameterType="java.lang.Integer">-->
<!-- select * from user where id=#{id}-->
<!-- </select>--><!-- <select id="selectByUserName" resultType="com.qcby.entity.User" parameterType="java.lang.String">-->
<!-- select *from user where username=#{username}-->
<!-- </select>--><!-- <insert id="insert" parameterType="com.qcby.entity.User">-->
<!-- insert into user (username,birthday,sex,address) value (#{username},#{birthday},#{sex},#{address});-->
<!-- </insert>--><!-- <update id="update" parameterType="com.qcby.entity.User">-->
<!-- update user set username=#{username},birthday=#{birthday},sex=#{sex},address=#{address}-->
<!-- where id=#{id}-->
<!-- </update>--><!-- <delete id="delete" parameterType="java.lang.Integer">-->
<!-- delete from user where id=#{id}-->
<!-- </delete>-->
<!-- <select id="likeByName" resultType="com.qcby.entity.User" parameterType="java.lang.String">-->
<!-- select * from user where username like '%${value}%';-->
<!-- </select>-->
<!-- <select id="likeByName1" resultType="com.qcby.entity.User" parameterType="java.lang.String">-->
<!-- select * from user where username like #{username};-->
<!-- </select>-->在这个例子中，findAll 方法会返回 user 表中的所有记录。静态 SQL 语句适用于简单的查询场景，但在复杂的业务逻辑中，静态 SQL 往往无法满足需求。
3. 动态 SQL 语句
动态 SQL 是 MyBatis 的强大特性之一，它允许我们根据不同的条件动态生成 SQL 语句。MyBatis 提供了多种标签来实现动态 SQL，如 <if>、<choose>、<when>、<otherwise>、<trim>、<where>、<set> 和 <foreach>。
3.1 <if> 标签
<if> 标签用于根据条件判断是否包含某段 SQL 语句。以下是一个使用 <if> 标签的动态 SQL 示例：
<!--动态sql:能够在不同的条件下拼接出不同的sql语句--><!--where 标签的功能：能够去掉where 后边的 and 或 or--><select id="selectUser" parameterType="com.qcby.entity.User" resultType="com.qcby.entity.User">select * from user<where><if test="username!=null and username!=''">username=#{username}</if><if test="birthday!=null">and birthday=#{birthday}</if><if test="sex!=null and sex!=''">and sex=#{sex}</if><if test="address!=null and address!=''">and address=#{address}</if></where></select>在这个例子中，selectUser 方法会根据传入的 User 对象的 username 和 sex 属性动态生成 SQL 语句。如果 username 或 sex 为空，则不会包含对应的条件。
3.2 <choose>、<when> 和 <otherwise> 标签
<choose> 标签类似于 Java 中的 switch 语句，它可以根据不同的条件选择不同的 SQL 片段。以下是一个使用 <choose> 标签的示例：
<select id="selectUserByChoose" resultType="com.qcby.entity.User" parameterType="com.qcby.entity.User">SELECT * FROM user<where><choose><when test="username != null and username != ''">username = #{username}</when><when test="sex != null and sex != ''">sex = #{sex}</when><otherwise>id = #{id}</otherwise></choose></where>
</select>在这个例子中，selectUserByChoose 方法会根据 username、sex 和 id 的不同值动态生成 SQL 语句。
3.3 <foreach> 标签
<foreach> 标签用于遍历集合或数组，并生成相应的 SQL 语句。以下是一个使用 <foreach> 标签的批量删除示例：
<!--foreach循环--><!--批量删除--><!-- 批量删除的sql语句:delete from user where id in (6,7,8); --><delete id="deleteMoreByArray" >delete from user where id in<foreach collection="ids" item="id" separator="," open="(" close=")">#{id}</foreach></delete><!-- collection:当前要循环的数组或者集合 --><!-- item: 我们指定要循环的数组的每一个元素 --><!-- separator:每一个元素应该用什么来做分割 --><!-- open:当前循环是以什么开始 --><!-- close:当前循环是以什么结束 --><!--批量添加--><!--insert into user(username,birthday,sex,address) values (#{user.username},#{user.birthday},#{user.sex},#{user.address}), (#{user.username},#{user.birthday},#{user.sex},#{user.address}), (#{user.username},#{user.birthday},#{user.sex},#{user.address}), (#{user.username},#{user.birthday},#{user.sex},#{user.address}) --><update id="insertMoreByList" parameterType="com.qcby.entity.User">insert into user(username,birthday,sex,address) values<foreach collection="users" item="user" separator=",">(#{user.username},#{user.birthday},#{user.sex},#{user.address})</foreach></update>在这个例子中，deleteMoreByArray 方法会根据传入的 ids 数组动态生成批量删除的 SQL 语句。
4. SQL 注入问题及防范
SQL 注入是一种常见的安全漏洞，攻击者可以通过在输入中插入恶意 SQL 代码来操纵数据库查询。MyBatis 通过使用 #{} 占位符来防止 SQL 注入。
4.1 #{} 与 ${} 的区别
-
#{}：MyBatis 会使用预编译语句（PreparedStatement）来处理参数，参数会被安全地转义，从而防止 SQL 注入。 -
${}：MyBatis 会直接将参数拼接到 SQL 语句中，存在 SQL 注入的风险。
以下是一个使用 #{} 的示例：
<select id="findById" resultType="com.qcby.entity.User" parameterType="java.lang.Integer">SELECT * FROM user WHERE id = #{id}
</select>在这个例子中，#{} 会确保 id 参数被安全地处理，防止 SQL 注入。
4.2 防范 SQL 注入的最佳实践
-
始终使用
#{}：在大多数情况下，应使用#{}来处理参数，避免使用${}。 -
避免动态拼接 SQL：尽量避免在 SQL 语句中动态拼接用户输入的内容。
-
使用 MyBatis 的动态 SQL 标签：通过使用
<if>、<choose>等标签，可以安全地构建动态 SQL 语句。
5. 总结
MyBatis 提供了强大的动态 SQL 功能，使得我们可以根据不同的条件灵活地生成 SQL 语句。同时，MyBatis 通过 #{} 占位符有效地防止了 SQL 注入问题。在实际开发中，我们应充分利用 MyBatis 的动态 SQL 特性，并遵循最佳实践来确保应用的安全性。
通过本文，你应该对 MyBatis 的增删改查操作、动态 SQL 语句拼接以及 SQL 注入问题有了更深入的理解。希望这些内容能帮助你在实际项目中更好地使用 MyBatis。
参考文献：
-
MyBatis 官方文档
-
SQL 注入攻击与防御
相关文章：
MyBatis增删改查：静态与动态SQL语句拼接及SQL注入问题解析
MyBatis 是一个优秀的持久层框架，它支持定制化 SQL、存储过程以及高级映射。MyBatis 避免了几乎所有的 JDBC 代码和手动设置参数以及获取结果集的工作。本文将深入探讨 MyBatis 中的增删改查操作，重点讲解静态与动态 SQL 语句的拼接，并分析 S…...
Unity入门学习笔记（Day01）
一.认识unity工作面板 1.1.project window（项目面板） 显示当前项目中的所有文件和目录，包含了项目里面所有的资源文件 1.2.console window（输出面板） 显示当前游戏开发中生成的警告错误 1.3.hierarchy window&…...
教务考试管理系统-Sprintboot vue
一、前言 1.1 实践目的和要求 本次实践的目的是为了帮助学生强化对实践涉及专业技术知识的理解，掌握专业领域中软件知识的应用方法，并了解软件工程在具体行业领域的发展趋势。通过培养学生利用软件工程方法分析、设计并完成具体行业软件开发的能力&…...
GHCTF2025--Web
upload?SSTI! import os import refrom flask import Flask, request, jsonify,render_template_string,send_from_directory, abort,redirect from werkzeug.utils import secure_filename import os from werkzeug.utils import secure_filenameapp Flask(__name__)# 配置…...
文件上传漏洞（upload-labs）
目录 Pass-01(前端绕过) （1）JavaScript （2）Burpsuite（改后缀） Pass-02（IMME类型 ） burpsuite（改文件类型） Pass-03（黑名单绕过） …...
图片的拖拽+缩放
效果图： <script setup lang"ts"> import { onMounted, ref } from vue; import ImgBg from /assets/img/bg.jpg import Img1 from /assets/img/1.jpgconst innerStyle ref({left: 0,top: 0,width: 100,height: 0 }) const wrapStyle ref({width:…...
Windows软件插件-音视频文件读取器
下载本插件 本插件读取音频和视频文件，输出音频样本和视频样本，音频样本为16位PCM，采样率48000；视频样本为RGB32。大部分音频和视频文件格式都可以读取。本插件类型为DLL。 本插件是通过创建媒体基础“源读取器”对象实现读取音视…...
考研数一复习之拉格朗日中值定理求解函数极限
最近在复习考研数学,只是简单做题过于乏味,因此便总结了一些笔记,后续若有空,也会将自己的复习笔记分享出来。本篇，我们将重点讲解拉格朗日中值定理在求解函数极限中的应用。同时,作者本人作为python领域创作者，还将在本文分享使用sympy求解高数中函数极…...
聊天服务器分布式改造
目前的聊天室是单节点的，无论是http接口还是socket接口都在同一个进程，无法承受太多人同时在线，容灾性也非常差。因此，一个成熟的IM产品一定是做成分布式的，根据功能分模块，每个模块也使用多个节点并行部署…...
C++11的一些特性
目录 一、C11简介 二、统一的列表初始化 2.1 ｛｝初始化 2.2 std::initializer_list 三、声明 3.1 auto 3.2 decltype 3.3 nullptr 四、范围for循环 五、智能指针 5.1 RAII 5.2 智能指针的原理 5.3 std::auto_ptr…...
【打卡day3】字符串类
例如统计字符个数，字符大小写转换 题目描述：输入一行字符串，计算A-Z大写字母出现的次数 思路： 1 定义一个整型数组，初始化为0，存储每个字母出现的次数，下标0对应字母A, 2，定义字…...
图像滑块对比功能的开发记录
背景介绍 最近，公司需要开发一款在线图像压缩工具，其中的一个关键功能是让用户直观地比较压缩前后的图像效果。因此，我们设计了一个对比组件，它允许用户通过拖动滑块，动态调整两张图像的显示区域，从而清晰…...
【音视频】ffplay常用命令
一、 ffplay常用命令 -x width：强制显示宽度-y height：强制显示高度 强制以 640*360的宽高显示 ffplay 2.mp4 -x 640 -y 360 效果如下 -fs 全屏显示 ffplay -fs 2.mp4效果如下： -an 禁用音频（不播放声音）-vn 禁…...
初识Linux
文章目录 初识Linux：从开源哲学到技术生态的全面解析一、Linux的背景与发展简史：从代码实验到数字基础设施1.1 起源与开源基因1.2 技术哲学之争1.3 GNU/Linux的融合 二、开源：Linux的核心竞争力与生态力量2.1 法律保障与四大自由2.2 社区协作…...
基于遗传算法的IEEE33节点配电网重构程序
一、配电网重构原理 配电网重构（Distribution Network Reconfiguration, DNR）是一项优化操作，旨在通过改变配电网中的开关状态，优化电力系统的运行状态，以达到降低网损、均衡负载、改善电压质量等目标。配电网重构的核…...
manus对比ChatGPT-Deep reaserch进行研究类学术相关数据分析！谁更胜一筹?
没有账号，只能挑选一个案例 一夜之间被这个用全英文介绍全华班出品的新爆款国产AI产品的小胖刷频。白天还没有切换语言的选项，晚上就加上了。简单看了看团队够成，使用很长实践的Monica创始人也在其中。逐渐可以理解，重心放在海外产…...
线程通信---java
线程 我们知道，线程是进程的最小执行单位，一个进程可以拥有多个线程，那么就会引入两个问题： 多个线程之间如何进行通信多个线程对同一个数据进行操作，如何保证程序正确执行，也就是线程安全问题 线程的常…...
python面试常见题目
1、python 有几种数据类型 数字:整形 （int）,浮点型 （float）布尔 （ bool）:false true字符串 （string）列表 （list）元组 （tuple）字典 &…...
Python中与字符串操作相关的30个常用函数及其示例
以下是Python中与字符串操作相关的30个常用函数及其示例： 1. str.capitalize() 将字符串的第一个字符大写，其余字符小写。 s "hello world" print(s.capitalize()) # 输出: Hello world2. str.lower() 将字符串中的所有字符转换为小写。…...
2025年渗透测试面试题总结-小某鹏汽车-安全工程师（题目+回答）
网络安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。 目录 小鹏汽车-安全工程师 一、XXE漏洞与SSRF漏洞 1. XXE（XML External Entity）漏洞…...
kafka + flink +mysql 案例
假设你有两个Kafka主题：user_activities_topic 和 product_views_topic，并且你希望将user_activities_topic中的数据写入到user_activities表，而将product_views_topic中的数据写入到product_views表。 maven <dependencies><!-- …...
Windows下配置Flutter移动开发环境以及AndroidStudio安装和模拟机配置
截止 2025/3/9 ，版本更新到了 3.29.1 ，但是为了防止出现一些奇怪的bug，我安装的还是老一点的，3.19，其他版本的安装同理。AndroidStudio用的是 2024/3/1 版本。 — 1 环境变量（Windows） PUB_H…...
【工具类】Springboot 项目日志打印项目版本和构建时间
博主介绍：✌全网粉丝22W，CSDN博客专家、Java领域优质创作者，掘金/华为云/阿里云/InfoQ等平台优质作者、专注于Java技术领域✌ 技术范围：SpringBoot、SpringCloud、Vue、SSM、HTML、Nodejs、Python、MySQL、PostgreSQL、大数据、物…...
p5.js：模拟 n个彩色小球在一个3D大球体内部弹跳
向 豆包 提问：编写一个 p5.js 脚本，模拟 42 个彩色小球在一个3D大球体内部弹跳。每个小球都应留下一条逐渐消失的轨迹。大球体应缓慢旋转，并显示透明的轮廓线。请确保实现适当的碰撞检测，使小球保持在球体内部。 cd p5-demo copy…...
RISC-V医疗芯片工程师复合型转型的路径与策略
从RISC-V到医疗芯片：工程师复合型转型的路径与策略 一、引言 1.1 研究背景 在科技快速发展的当下，芯片技术已然成为推动各行业进步的核心驱动力之一。其中，RISC-V 架构作为芯片领域的新兴力量，正以其独特的优势迅速崛起，对整个芯片产业的格局产生着深远影响。RISC-V 架…...
HTML 文本格式化
HTML 文本格式化 在构建网页的过程中，文本的格式化是一个至关重要的环节。HTML（HyperText Markup Language）提供了丰富的标签和属性来帮助我们实现各种文本格式化的需求。本文将详细介绍HTML中常见的文本格式化方法，包括字体、颜…...
基于RNN+微信小程序+Flask的古诗词生成应用
项目介绍 平台采用B/S结构，后端采用主流的Flask框架进行开发，古诗词生成采用RNN模型进行生成，客户端基于微信小程序开发。是集成了Web后台开发、微信小程序开发、人工智能（RNN）等多个领域的综合性应用，是课…...
【算法】图论 —— Dijkstra算法 python
引入 求非负权边的单源最短路 时间复杂度 O( m l o g n mlogn mlogn) 模板 https://www.luogu.com.cn/problem/P4779 import heapq as hq def dijkstra(s): # dis表示从s到i的最短路 dis [float(inf)] * (n 1) # vis表示i是否出队列 vis [0] * (n 1) q [] dis[s…...
Java：LocalDatTime（代替Calendar）、ZoneDateTime（时区时间）
文章目录 Local(代替Calendar)方法：获取当前代码 LocalDate（年月日星期）LocalTime（时分秒纳秒）LocalDateTime(最常用：年月日时分秒纳秒)ZoneId 时区表示方法 ZoneDateTime(时区时间)方法世界标准时间&#…...
HOW - React 如何在在浏览器绘制之前同步执行 - useLayoutEffect
目录 useEffect vs useLayoutEffectuseEffectuseLayoutEffect主要区别总结选择建议注意事项 useLayoutEffect 使用示例测量 DOM 元素的尺寸和位置示例：自适应弹出框定位 同步更新样式以避免闪烁示例：根据内容动态调整容器高度 图像或 Canvas 绘制前的准备…...
PyTorch系列教程：编写高效模型训练流程
当使用PyTorch开发机器学习模型时，建立一个有效的训练循环是至关重要的。这个过程包括组织和执行对数据、参数和计算资源的操作序列。让我们深入了解关键组件，并演示如何构建一个精细的训练循环流程，有效地处理数据处理，向前和向后…...
VS2019,VCPKG - 为VS2019添加VCPKG
文章目录 VS2019,VCPKG - 为VS2019添加VCPKG概述笔记前置条件迁出vcpkg到本地验证库安装更新已经安装的库删除指定的包安装VS2019能用的boostvcpkg 2025.02.14 版本可以给VS2019用用VCPKG的好处备注END VS2019,VCPKG - 为VS2019添加VCPKG 概述 开源工程用到了VCPKG管理的包。…...
linux下 jq 截取json文件信息
背景：通过‘登录名‘ 获取该对象的其他个人信息如名字。 环境准备：麒麟操作系统V10 jq安装包 jq安装包获取方式：yum install jq 或 使用附件中的rpm 或 git自行下载 https://github.com/stedolan/jq/releases/download/ 实现过程介绍&am…...
测试大语言模型在嵌入式设备部署的可能性-ollama本地部署测试
前言 当今各种大语言模型百花齐放，为了方便使用者更加自由的使用大模型，将大模型变成如同棒球棍一样每个人都能用，并且顺手方便的工具，本地私有化具有重要意义。 本次测试使用ollama完成模型下载，过程简单快捷。 1、进…...
C语言基础系列【21】memcpy、memset
博主介绍：程序喵大人 35- 资深C/C/Rust/Android/iOS客户端开发10年大厂工作经验嵌入式/人工智能/自动驾驶/音视频/游戏开发入门级选手《C20高级编程》《C23高级编程》等多本书籍著译者更多原创精品文章，首发gzh，见文末👇…...
云曦春季开学考复现（2025）
Crypto 划水的dp和dq 下载附件后是简单的RSA算法题，之所以说简单是因为给了公钥e 趁热打铁，昨天刚学的RSA，既然有p有q，也有e，而np*q，可以算出欧拉函数值phi（p-1）*（q-1&…...
探秘 Netty 通信中的 SslHandler 类：保障网络通信安全的基石
引言 在当今数字化时代，网络安全是每一个应用程序都必须重视的关键因素。尤其是在数据传输过程中，防止数据被窃取、篡改至关重要。Netty 作为一个高性能的网络编程框架，为开发者提供了强大的功能来构建可靠的网络应用。其中，SslH…...
Llama factory微调后的模型怎么通过ollama发布
接上一篇博客：用Llama Factory单机多卡微调Qwen2.5时报torch.OutOfMemoryError: CUDA out of memory的解决办法_llama-factory cuda out of memory-CSDN博客 把Lora模块和其基模型merge到一起之后，就可以通过ollama之类的框架提供服务了。不过还是有些格式转换的工作要做： …...
ubuntu 20.04下ZEDmini安装使用
提前安装好显卡驱动和cuda，如果没有安装可以参考我的这两篇文章进行安装： ubuntu20.04配置YOLOV5（非虚拟机）_ubuntu20.04安装yolov5-CSDN博客 ubuntu20.04安装显卡驱动及问题总结_乌班图里怎么备份显卡驱动-CSDN博客 还需要提前…...
CmBacktrace的学习跟移植思路
学习移植CmBacktrace需要从理解其核心功能、适用场景及移植步骤入手，结合理论学习和实践操作。以下是具体的学习思路与移植思路： 一、学习思路 理解CmBacktrace的核心功能 CmBacktrace是针对ARM Cortex-M系列MCU的错误追踪库，支持自动诊断Har…...
Android Glide 缓存模块源码深度解析
一、引言 在 Android 开发领域，图片加载是一个极为常见且关键的功能。Glide 作为一款被广泛使用的图片加载库，其缓存模块是提升图片加载效率和性能的核心组件。合理的缓存机制能够显著减少网络请求，降低流量消耗，同时加快图片显示…...
蓝桥杯备赛：炮弹
题目解析 这道题目是一道模拟加调和级数，难的就是调和级数，模拟过程比较简单。 做法 这道题目的难点在于我们在玩这个跳的过程，可能出现来回跳的情况，那么为了解决这种情况，我们采取的方法是设定其的上限步数。那么…...
死锁问题分析工具
使用 gdb 调试 gdb ./your_program (gdb) run (gdb) thread apply all bt还可以分析pthread_mutex内部，查看owen字段分析哪个线程占用的锁，一个可能的 pthread_mutex 内部结构可以大致表示为： typedef struct pthread_mutex_t {int state; …...
装饰器模式--RequestWrapper、请求流request无法被重复读取
目录 前言一、场景二、原因分析三、解决四、更多 前言 曾经遇见这么一段代码，能看出来是把request又重新包装了一下，核心信息都不会改变 后面了解到这叫 装饰器模式（Decorator Pattern） ：也称为包装模式(Wrapper Pat…...
MTK Android12 桌面上显示文件管理器图标
文章目录 需求解决 需求 在MTK平台上，Android12的文件管理器图标未显示在桌面，但在设置里面可以看到，文件管理器是安装的。根据客户要求，需要将文件管理器的图标显示在桌面上。解决 路径：packages/apps/DocumentsUI/…...
SpringBoot实现文件上传
1. 配置文件上传限制 application.yml spring:servlet:multipart:max-file-size: 10MBmax-request-size: 10MB2. 创建文件上传控制器 import org.springframework.web.bind.annotation.PostMapping; import org.springframework.web.bind.annotation.RestController; import…...
【开源免费】基于SpringBoot+Vue.JS青年公寓服务平台（JAVA毕业设计）
本文项目编号 T 233 ，文末自助获取源码 \color{red}{T233，文末自助获取源码} T233，文末自助获取源码 目录 一、系统介绍二、数据库设计三、配套教程3.1 启动教程3.2 讲解视频3.3 二次开发教程 四、功能截图五、文案资料5.1 选题背景5.2 国内…...
django中视图作用和视图功能 以及用法
在 Django REST Framework（DRF）中，视图（View）是处理 HTTP 请求并返回响应的核心组件。DRF 提供了多种视图类，适用于不同的场景和需求。以下是 DRF 中常见的视图类及其作用、使用方法的详细说明： 一、DRF 视图的分类 DRF 的视图可以分为以下几类： 基于函数的视图（Func…...
大语言模型在患者交互任务中的临床使用评估框架
An evaluation framework for clinical use of large language models in patient interaction tasks An evaluation framework for clinical use of large language models in patient interaction tasks | Nature Medicine 2025.1 收到时间：2023 年 8 月 8 日 …...
Python—类class复习
Python——类（class）复习 根据类来创建对象的方法被称为实例化 因此学会使用类（class）来进行编程就是初步进入面向对象编程的大门 1.1 创建和使用类 首先编写一个小狗的简单类Dog，它表示的不是特定的小狗ÿ…...