MyBatis 模糊查询防止Sql注入

#{xxx}，使用的是PreparedStatement，会有类型转换，所以比较安全；

${xxx}，使用字符串拼接，可以SQL注入；

like查询不小心会有漏洞，正确写法如下：

Mysql:

select * from t_user where name like concat('%', #{name}, '%')

Oracle:

select * from t_user where name like '%' || #{name} || '%'

SQLServer:

select * from t_user where name like '%' + #{name} + '%'

MyBatis 模糊查询 防止Sql注入