sqlserver模糊查询问题

言慢行善2026-04-11 20:27

针对mybatisplus

最早写法

复制代码
lqw.eq(OrgCodeView::getPositionEnabled, 1).like(StringUtils.isNotBlank(req.getPositionCode()), OrgCodeView::getPositionCode, req.getPositionCode())....
失败关键是其他字段汉字还行，但是PO07 code输入07 查不出来数据

中间写法

复制代码
lqw.eq(OrgCodeView::getPositionEnabled, 1).and(StringUtils.isNotBlank(req.getPositionCode()), i -> i.apply("PositionCode LIKE '%' + {0} + '%'", req.getPositionCode()))
这样不推荐！

MyBatis-Plus 的 apply("... {0} ...", param) 底层生成的是预编译 SQL（PreparedStatement），占位符 {0} 会被替换为 ?

引发sql注入风险

===========

改为

// 1. 在 Java 代码中处理好参数

String positionCode = req.getPositionCode();

String likeCode = StringUtils.isNotBlank(positionCode) ? "%" + positionCode + "%" : null; // 2. 使用 Wrapper 构建查询 lqw.eq(OrgCodeView::getPositionEnabled, 1) .and(StringUtils.isNotBlank(likeCode), i -> i.like("PositionCode", likeCode));

这个没测试，需要的可以试下

最后写法使用过没发现问题

复制代码

<if test="req.positionCode!=null and req.positionCode!='' ">
and PositionCode like '%'+ #{req.positionCode}+'%'
</if>