mybatis like %% 模糊查询防sql 注入

所以解决的思路是：sql中应该跟正常的替换方式相同，ibatis并没有提供特殊写法，应该在传入的参数上下功夫。

也就意味着需要自己来做转译。

SQL文：

select * from A where A.name like #{key}


java端对Key值进行转译：

    public static String transfer(String keyword) {
        if(keyword.contains("%") || keyword.contains("_")){ 
            keyword = keyword.replaceAll("\\\\", "\\\\\\\\") 
                             .replaceAll("\\%", "\\\\%") 
                             .replaceAll("\\_", "\\\\_");
        }
        return keyword;
    }


然后再转译后的key上，按照逻辑添加“%”或者“_”，再设置到statement中即可。

例如：前方一致检索

key = transfer(key) + "%";
注意：上面的转译方法适用于jdk1.6，之前的可能需要将第一个.replaceAll("\\\\", "\\\\\\\\")

改成:.replaceAll("\\", "\\\\") 即可。