Java开发中怎样对LIKE模糊查询进行安全的SQL参数化？-SQL-PHP中文网

${} 拼接 LIKE 会导致 SQL 注入，因 MyBatis 直接字符串替换、绕过预编译，使用户输入如 admin' OR '1'='1 被数据库当作完整 SQL 解析，造成全表泄露。

java开发中怎样对like模糊查询进行安全的sql参数化？

必须用 #{} 绑定参数，通配符由 Java 层或数据库函数拼接，${} 在 LIKE 中等于主动开后门。

为什么 `${}` 拼 `LIKE` 就是 SQL 注入

写成 WHERE name LIKE '%${keyword}%' 时，MyBatis 直接把字符串替换进 SQL，不经过 JDBC 预编译。用户输 admin' OR '1'='1 ，最终执行的就是：

WHERE name LIKE '%admin' OR '1'='1%'

数据库会把它当完整 SQL 解析，OR '1'='1' 恒真，结果查出全表——这不是模糊查询，是数据裸奔。

常见错误包括：

用 CONCAT('%', ${keyword}, '%') ：只要含 ${} ，就不可信
前端传 %张三% 再 ${keyword} 插入：攻击者可直接在百分号里塞恶意片段
正则校验 sortField.matches("[a-zA-Z_]+") 后仍用 ${sortField} ：无法防 id, (SELECT ...) 这类注入

`bind` 标签怎么用才真正安全

bind 本身不防注入，它只是帮你把通配符加在 Java 表达式里，再交给 #{} 走预编译。关键在写法和空值处理。

正确示例（MySQL / PostgreSQL / Oracle 通用）：

Java注释规范Skills

当用户要求为 Java 代码添加注释、修改注释、审查注释、整理注释格式，或要求按照代码注释规范处理 Java 文件时，使用本技能。本技能用于统一生成和维护 Java 类注释模板、按 Git 对比 release 判断版本号、补充每行代码上方中文块注释、调整注释空行规则，并保持 Java 文件 UTF-8 无 BOM 编码。典型触发场景包括：补充类注释、更新 @version、检查 @author 来源、整理行尾注释、把注释放到代码上一行、检查注释是否符合规范、构建前检查 Java 注释风格。

下载

<bind name="likeName" value="@java.lang.String@format('%s%s%s', '%', keyword, '%')"></bind>
WHERE name LIKE #{likeName}

注意点：

不能写 value="'%' + keyword + '%'" ：OGNL 不支持 + 字符串拼接
如果 keyword 为 null ，@format 返回 null ，整个条件失效；必须配合 <if test="keyword != null and keyword.trim() != ''"></if>
Oracle 中 || 遇 null 结果为 null ，建议统一用 @format 或 Java 层提前判空

QueryWrapper 的 `like` 方法是否绝对安全

是的，queryWrapper.like("name", keyword) 内部已做参数化，不会注入。但有三个隐藏前提：

keyword 不能是用户原始输入且未清洗：虽然不会执行 SQL，但若含超长字符串（如 10MB），可能拖垮数据库连接或触发日志溢出
必须用 StringUtils.isNotBlank(keyword) 替代 keyword != null ：空格、制表符、零宽字符都得过滤
长度必须限制：if (keyword.length() > 50) throw new IllegalArgumentException() ，防 DoS 类攻击

更危险的是混用逻辑：.like("name", keyword).or().eq("status", userStatus) 中，userStatus 若来自前端且未白名单校验，仍可能被用于注入（概率低但非零）。

动态列名、排序字段这些 `${}` 绕不开的场景怎么办

ORDER BY ${sortField} 这种地方，#{} 无效，因为数据库不允许参数化列名。唯一靠谱做法是硬编码白名单：

private static final Set<string> ALLOWED_SORT_FIELDS = Set.of("name", "create_time", "email");
if (!ALLOWED_SORT_FIELDS.contains(sortField)) {
    throw new IllegalArgumentException("Invalid sort field: " + sortField);
}</string>

别信“宽松正则”或“黑名单”：