Mybatis3.4.6对#{}不再存在sql注入漏洞

奇犽

1. @Select("<script>" +
   
2.             "SELECT * FROM GZ_USER " +
   
3.             "where deleted = '0' and " +
   
4.             "<if test='loginName != null' >"+
   
5.             "user_name = #{loginName} " +
   
6.             "</if>"+
   
7.             "</script>")
   
8.     User findByLoginName(@Param("loginName") String loginName);
   

复制代码

测试：

结果：

老版本的myabtis对sql漏洞需要把#{}替换成${}, 新版本测试，发现不需要。记录下