mybatis 查询 orderby

Posted 2023-04-16

参考技术A

https://blog.csdn.net/xiaofanren1111/article/details/79470930
https://www.cnblogs.com/200911/p/5869097.html

在mybatis进行sql查询时，如果要用到排序功能，语句应该写成 order by $user_id 而不是 order by #user_id 。因为

但是，正因为 $ 会照原样传递参数，所以：

而 # 在底层是JDBC中的 PreparedStatement 类在起作用， PreparedStatement 是我们很熟悉的 Statement 的子类，它的对象包含了编译好的SQL语句。这种“准备好”的方式不仅能提高安全性， 防止sql注入 ，而且在多次执行同一个SQL时，能够提高效率。原因是SQL已编译好，再次执行时无需再编译。

如果坚持要用 $ ，最好对输入的参数进行过滤，只允许白名单内的参数进行查询。

mybatis的映射xml中动态设置orderby

mybatis的dao xml中，根据参数值设置不同的order by字段。

dao java

List<DzRainDetail> queryDetail(@Param("masterId") int masterId, 
@Param("country") String country, 
@Param("sort") String sort);

第三个参数“sort”用于决定如何写这个order by。

dao XML

<select id="queryDetail" resultMap="DetailResultMap">
    SELECT rd.id, st.address, rd.water, st.d_name
    FROM dzzhyj.dz_rain_detail rd
    INNER JOIN dzzhyj.DZ_RAIN_STATION st ON rd.station_code = st.code
    WHERE rd.master_id = #{masterId}
    AND st.country = #{country}
    <if test="sort.compareTo('d') == 0">
        ORDER BY st.d_name ASC
    </if>
    <if test="sort.compareTo('water') == 0">
        ORDER BY rd.water DESC
    </if>
</select>

由于sort是字符串，String类型，我发现写成以下形式会报错：

<if test="sort == 'd'">
    ORDER BY st.d_name ASC
</if>
<if test="sort == 'water'">
    ORDER BY rd.water DESC
</if>

系统会将sort认为是数值型，抛出异常说无法识别的值。