myatis nknown column '***' in 'where clause'

2020/08/01 13:26
阅读数 387

今天在mybatis 动态拼接sql语句的时候报这个错,将控制台输出的sql放到Navicat for MySQL(MySQL编辑器)中,还是同样的错:

Unknown column 'KKKCD0000037' in 'where clause'

看一下编辑器中where的 条件如下;

where 1=1 and gems_code=KKKCD0000037

然后修改如下:

where 1=1 and gems_code='KKKCD0000037'

OK了。

 

然后看mybatis的xml文件如下:

gems_code=${condition.orderNumber}

修改为:

gems_code=#{condition.orderNumber}

OK了。

原因:

mybatis中#{}表示一个占位符:

1、#将传入的数据都当成一个字符串,会对自动传入的数据加一个双引号

2、#在很大程度上可以防止sql注入

3、例如#{id}:#{}中的id表示输入的参数名称,如果输入参数是简单类型,那么#{}中的参数可以任意。

4、能用#{}就别用${}

在mybatis中${}表示一个拼接符:

1、${}将传入的数据直接显示生成在sql中。

2、如果使用${},而你传入的是字符串,比如中文、英文。就必须这样:'${}',不然会报(Unknown column 'TT' in 'where clause')的错误,当然传入数字没问题。

3、${value}: ${}中value表示输入的参数名称,如果输入的参数是简单类型,那么${}中的值只能是value

4、${}存在sql注入的风险,慎用!但是在特殊场景下必须使用${},比如order by 语句后面要跟动态列,就得使用${colname}.

展开阅读全文
打赏
0
0 收藏
分享
加载中
更多评论
打赏
0 评论
0 收藏
0
分享
返回顶部
顶部