Mybatis防止SQL注入

转载于http://blog.sina.com.cn/s/blog_667ac0360102vl85.html

好文链接

#{xxx}，使用的是PreparedStatement，会有类型转换，所以比较安全；
${xxx}，使用字符串拼接，可以SQL注入；
like查询不小心会有漏动，正确写法如下：
Mysql: select * from t_user where name like concat(&＃39;%&＃39;, #{name}, &＃39;%&＃39;)
Oracle: select * from t_user where name like &＃39;%&＃39; || #{name} || &＃39;%&＃39;
SQLServer: select * from t_user where name like &＃39;%&＃39; + #{name} + &＃39;%&＃39;