最新国产好看的视频,伊人天堂AV在线,国产Aaaaaa视频,蜜臀视频在线观看一区,人妻av色图,密臀久久久精品影片,青青视频免费观看毛片,久草在线观看视,国产三级精品色情在线

Mybatis動(dòng)態(tài)傳入order?by問(wèn)題

 更新時(shí)間:2022年12月29日 10:33:59   作者:ClearLoveQ  
這篇文章主要介紹了Mybatis動(dòng)態(tài)傳入order?by問(wèn)題,具有很好的參考價(jià)值,希望對(duì)大家有所幫助。如有錯(cuò)誤或未考慮完全的地方,望不吝賜教

Mybatis動(dòng)態(tài)傳入order by

當(dāng)Mybatis的mapper文件傳入的order by 為動(dòng)態(tài)參數(shù)說(shuō)的時(shí)候發(fā)現(xiàn)排序無(wú)法生效:

像下面這樣,在choose when中的order by后的參數(shù)是用預(yù)編譯的方式,用的是#號(hào),這樣是可以防止sql注入的問(wèn)題,但是在傳入order by參數(shù)的時(shí)候無(wú)法解析:

	<select id="feescaleList" resultType="com.hasagei.modules.mebespoke.entity.HasageiMeBespoke" parameterType="com.hasagei.modules.mebespoke.entity.HasageiMeBespoke">
		SELECT
		A.ID AS id,
		TO_CHAR(A.BESPOKE_DATE,'yyyy-mm-dd') AS bsepokeDate,
		A.USER_ID AS	userId,
		A.BESPOKE_DATE AS	bespokeDate,
		A.BESPOKE_STATUS	bespokeStatus,
		A.PROJECT_ID AS	projectId,
		A.PERIOD_START AS 	periodStart,
		A.PERIOD_END AS	periodEnd,
		A.FEESCALE_MONEY AS feescaleMoney,
		A.FEESCALE_NAME AS feescaleName,
		A.PAYMENT_TIME AS paymentTime,
		A.PAYMENT_MONEY AS paymentMoney,
		B.IDENTITY_CARD AS identityCard,
		B.REALNAME AS realname,
		B.SJ AS sj,
		B.GZZH AS   gzzh,
		B.PHOTOELECTRIC_CARD AS photoelectricCard,
		B.SEX AS sex,
		B.BIRTH_DATE AS  birthDate,
		B.STUDENT_ID AS  studentId,
		B.EXAMINE_NUMBER AS  examineNumber,
		B.DEPARTMENT AS  department,
		B.FACULTY AS  faculty,
		C.MEC_NAME AS mecName
		FROM
		TSINGHUA_ME_BESPOKE A LEFT JOIN TSINGHUA_USERINFO B ON A.USER_ID=B.ID
		LEFT JOIN MEC_ITEM C ON A.PROJECT_ID=C.MEC_NUMBER
		WHERE 1=1
		<if test='bespokeDateGteJ != null and bespokeDateLteJ != null '>
			<if test='bespokeDateLteJ != "" and bespokeDateLteJ != ""'>
				AND A.PAYMENT_TIME <![CDATA[<=]]> to_date(#{bespokeDateLteJ,jdbcType=DATE},'yyyy-MM-dd HH24:MI:SS')
				AND A.PAYMENT_TIME <![CDATA[>=]]> to_date(#{bespokeDateGteJ,jdbcType=DATE},'yyyy-MM-dd HH24:MI:SS')
			</if>
		</if>
		<choose>
			<when test='orderByFiled!=null and orderByFiled!="" and orderBySe!=null and orderBySe!=""'>
				ORDER BY #{orderByFiled}  #{orderBySe}
			</when>
			<otherwise>
				ORDER BY A.PAYMENT_TIME DESC
			</otherwise>
		</choose>
	</select>

最簡(jiǎn)單的解決辦法是將#換為$,但是這樣會(huì)有sql注入的問(wèn)題

Mybatis order by動(dòng)態(tài)參數(shù)防注入

先提及一下Mybatis動(dòng)態(tài)參數(shù)

參數(shù)符號(hào)編譯安全
#{}預(yù)編譯安全處理后的值,字符類(lèi)型都帶雙引號(hào)
${}未預(yù)編譯不安全,存在SQL注入問(wèn)題傳進(jìn)來(lái)啥就是啥

order by 動(dòng)態(tài)參數(shù)

order by 后面參數(shù)值是表字段或者SQL關(guān)鍵字

所以使用#{} 是無(wú)效的,只能使用${}

那么SQL注入問(wèn)題就來(lái)了

解決Order by動(dòng)態(tài)參數(shù)注入問(wèn)題

1、使用正則表達(dá)式規(guī)避

特殊字符 * + - / _ 等等

使用indexOf判斷到了直接返回

有可能會(huì)存在其它情況,不能完全規(guī)避,但是可以逐步排查

2、技巧解決

  • 2.1 先從order by 動(dòng)態(tài)參數(shù)思考

組合情況只有這兩種

  • order by 字段名 (asc直接略掉得了) 
  • order by 字段名 desc

所以我們只要找到對(duì)應(yīng)集合,判斷我們動(dòng)態(tài)排序條件是否在其中就可以了

  • 2.2 獲取排序條件集合

有些勤勞的小伙伴可能就開(kāi)始寫(xiě)了

userOrderSet = ['id','id desc','age','age desc',.......]
scoreOrderSet = ['yuwen','yuwen desc','shuxue','shuxue desc',.......]
.............

要是有n多表n多字段可是要急死人

我們使用注解+映射來(lái)獲取

  • 2.3 動(dòng)態(tài)獲取集合
/**
首先改造實(shí)體類(lèi),有@Column注解映射,也有使用@JsonProperty,都行,沒(méi)有用@Column映射,就加個(gè)@JsonProperty,不影響,我偷懶使用@JsonProperty
**/
@Data
@Builder
@JsonIgnoreProperties(ignoreUnknown = true)
public class ContentEntity {
 
    
    @JsonProperty("id")
    private Long id;//主鍵ID
    @JsonProperty("code")
    private String code;//編碼
    @JsonProperty("content")
    private String content;//內(nèi)容
    @JsonProperty("is_del")
    private Integer isDel;//是否刪除,0未刪除,1已刪除
    @JsonProperty("creator")
    private String creator;//創(chuàng)建人
    @JsonProperty("creator_id")
    @JsonFormat(pattern = DatePattern.NORM_DATETIME_PATTERN, timezone = "GMT+8")
    private Date createAt;//創(chuàng)建時(shí)間
    @JsonProperty("updater")
    private String updater;//更新人
    @JsonProperty("updater_id")
    @JsonFormat(pattern = DatePattern.NORM_DATETIME_PATTERN, timezone = "GMT+8")
    private Date updateAt;//更新時(shí)間
 
}
/**工具類(lèi)來(lái)了**/
 
public class MybatisDynamicOrderUtils {
 
    private static final String desc = " desc";
    /**
     * 獲取對(duì)象 JsonProperty 值列表 使用Column替換一下
     * @param object
     * @return
     */
    public static Set<String> getParamJsonPropertyValue(Class<?> object){
        try {
            //獲取filed數(shù)組
            Set<String> resultList =  new HashSet<>();
            Field[] fields = object.getDeclaredFields();
            for (Field field:fields){
                //獲取JsonProperty注解
                if(field.getAnnotation(JsonProperty.class)!=null){
                    JsonProperty annotation = field.getAnnotation(JsonProperty.class);
                    if (annotation != null) {
                        //獲取JsonProperty 的值
                        String jsonPropertyValue = annotation.value();
                        resultList.add(jsonPropertyValue);
                    }
                }
            }
            return resultList;
        }catch (Exception e){
            e.printStackTrace();
        }
        return null;
    }
 
    /**
     * 判斷動(dòng)態(tài)order是否是合理
     * @param order
     * @param object
     * @return
     */
    public static Boolean isDynamicOrderValue(String order,Class<?> object){
        //先獲取JsonProperty 注解中的集合
        Set<String> set = getParamJsonPropertyValue(object);
        //屬于直屬字段 直接返回
        if(set.contains(order)){
            return true;
        }
        //多了倒序,先去除倒序字段再判斷
        if(order.lastIndexOf(desc)>0){
            String temp = order.substring(0,order.lastIndexOf(desc));
            if(set.contains(temp)){
                return true;
            }
        }
        return false;
    }
}
//調(diào)用操作一下
 
//檢驗(yàn)動(dòng)態(tài)order是否合理,防止SQL注入
if(!MybatisDynamicOrderUtils.isDynamicOrderValue(sort,ContentEntity.class)){
            log.error("dynamic order is error:{}",sort);
            return null;
}
 
 
 
//mapper.class
 
@Select({"<script>select  * from content order by ${sort}</script>"})
List<ContentEntity> getList(@Param("sort") String sort);

總結(jié)

以上為個(gè)人經(jīng)驗(yàn),希望能給大家一個(gè)參考,也希望大家多多支持腳本之家。

相關(guān)文章

  • Mysql中xtrabackup備份的實(shí)現(xiàn)

    Mysql中xtrabackup備份的實(shí)現(xiàn)

    Xtrabackup是Percona團(tuán)隊(duì)開(kāi)發(fā)的用于MySQL數(shù)據(jù)庫(kù)物理熱備份的開(kāi)源備份工具,本文就來(lái)介紹一下Mysql中xtrabackup備份的實(shí)現(xiàn),就有一定的參考價(jià)值,感興趣的可以了解一下
    2023-12-12
  • 詳解MySQL中的NULL值

    詳解MySQL中的NULL值

    這篇文章主要介紹了MySQL中的NULL值的相關(guān)知識(shí),是MySQL入門(mén)學(xué)習(xí)中的基礎(chǔ)知識(shí),需要的朋友可以參考下
    2015-05-05
  • Linux系統(tǒng)下MySQL的初始化和配置指南

    Linux系統(tǒng)下MySQL的初始化和配置指南

    當(dāng)MySQL的系統(tǒng)庫(kù)(mysql系統(tǒng)庫(kù))發(fā)生故障或需要新加一個(gè)mysql實(shí)例時(shí),需要初始化mysql數(shù)據(jù)庫(kù),這篇文章主要給大家介紹了關(guān)于Linux系統(tǒng)下MySQL的初始化和配置指南的相關(guān)資料,需要的朋友可以參考下
    2023-11-11
  • 圖文詳解Mysql中如何查看Sql語(yǔ)句的執(zhí)行時(shí)間

    圖文詳解Mysql中如何查看Sql語(yǔ)句的執(zhí)行時(shí)間

    寫(xiě)程序的人往往需要分析所寫(xiě)的SQL語(yǔ)句是否已經(jīng)優(yōu)化過(guò)了,服務(wù)器的響應(yīng)時(shí)間有多快,所以下面這篇文章主要給大家介紹了關(guān)于Mysql中如何查看Sql語(yǔ)句的執(zhí)行時(shí)間的相關(guān)資料,需要的朋友可以參考下
    2021-12-12
  • MariaDB(MySQL)創(chuàng)建、刪除、選擇及數(shù)據(jù)類(lèi)型使用詳解

    MariaDB(MySQL)創(chuàng)建、刪除、選擇及數(shù)據(jù)類(lèi)型使用詳解

    這篇文章主要介紹了MariaDB(MySQL)創(chuàng)建、刪除、選擇及數(shù)據(jù)類(lèi)型使用詳解的相關(guān)資料,需要的朋友可以參考下
    2016-09-09
  • mysql刪除表中某一字段重復(fù)的記錄

    mysql刪除表中某一字段重復(fù)的記錄

    一般大家也許會(huì)碰到這個(gè)問(wèn)題,大家可以參考下,講的比較詳細(xì)
    2008-07-07
  • mysql如何修改表中某個(gè)數(shù)據(jù)

    mysql如何修改表中某個(gè)數(shù)據(jù)

    這篇文章主要介紹了mysql如何修改表中某個(gè)數(shù)據(jù)的實(shí)現(xiàn)方式,具有很好的參考價(jià)值,希望對(duì)大家有所幫助,如有錯(cuò)誤或未考慮完全的地方,望不吝賜教
    2023-08-08
  • MySQL密碼正確卻無(wú)法本地登錄的解決方法

    MySQL密碼正確卻無(wú)法本地登錄的解決方法

    這篇文章主要介紹了MySQL密碼正確卻無(wú)法本地登錄的解決方法,需要的朋友可以參考下
    2014-12-12
  • MySQL筆記之修改表的實(shí)現(xiàn)方法

    MySQL筆記之修改表的實(shí)現(xiàn)方法

    我們?cè)趧?chuàng)建表的過(guò)程中難免會(huì)考慮不周,因此后期會(huì)修改表。本篇文章就介紹了在mysql中修改表的實(shí)現(xiàn)方法。需要的朋友參考下
    2013-05-05
  • mysql出現(xiàn)提示錯(cuò)誤10061的解決方法

    mysql出現(xiàn)提示錯(cuò)誤10061的解決方法

    這篇文章主要為大家詳細(xì)介紹了mysql出現(xiàn)提示錯(cuò)誤10061的解決方法,具有一定的參考價(jià)值,感興趣的小伙伴們可以參考一下
    2017-10-10

最新評(píng)論

沙雅县| 桦南县| 朝阳区| 正宁县| 塔河县| 邵东县| 卢湾区| 上林县| 咸丰县| 深州市| 安国市| 南川市| 石门县| 南阳市| 同江市| 东城区| 寿阳县| 新泰市| 新化县| 探索| 乳源| 西昌市| 灵宝市| 小金县| 昌都县| 若羌县| 甘谷县| 措勤县| 嘉义县| 丹凤县| 嘉峪关市| 清丰县| 秭归县| 高青县| 孟州市| 临泽县| 天津市| 鄄城县| 保山市| 永济市| 嵊州市|