【MyBatis】动态SQL——模糊查询 LIKE

最新推荐文章于 2026-04-11 13:08:04 发布

转载最新推荐文章于 2026-04-11 13:08:04 发布 · 2.6k 阅读

9 ·

本内容遵循CC 4.0 BY-SA版权协议

原文链接：https://blog.csdn.net/wrs120/article/details/82530653

标签

#Mybatis #动态SQL #模糊查询like

收录于

学习笔记同时被 3 个专栏收录

131 篇文章

订阅专栏

MyBatis

3 篇文章

订阅专栏

数据库

3 篇文章

订阅专栏

本文详细介绍了在MyBatis中实现模糊查询的三种方法：使用like '%?%'，利用CONCAT()函数拼接%，以及通过bind元素绑定变量。对比了不同方法的安全性和效率，强调了使用bind元素的优点，即能够有效防止SQL注入攻击。

一、like '%?%'

SELECT  * 
FROM t_usr 
WHERE  name like '%${name}%'

SQL解析为：SELECT * FROM t_usr WHERE name like '%海%'
传参必须用${}不能用#{}，这样写的弊端是不安全，不能防sql注入
有关LIKE使用，请参见：https://blog.csdn.net/wrs120/article/details/7930582

二、CONCAT()拼接%

SELECT  * 
 FROM t_usr  
 WHERE name like CONCAT('%',CONCAT(#{name},'%'))

SQL解析为：SELECT * FROM t_usr WHERE name like CONCAT('%',CONCAT(?,'%'))
拼接时%必须加引号
有关CONCAT()使用，请参见：https://blog.csdn.net/wrs120/article/details/81148101

三、bind

bind 元素可以从 OGNL 表达式中创建一个变量并将其绑定到上下文。OGNL(Object Graph Navigation Language的缩写)是一种强大的表达式语言，更多用法，见：https://blog.csdn.net/isea533/article/details/50061705/

  SELECT  *  
  FROM t_usr 
  WHERE
      <if test="name !=null || name !=''">
          <bind name="usrName" value="'%' + name + '%'"/>
          name like #{usrName}
      </if>

SQL解析为：SELECT * FROM t_usr WHERE name like ?