6.平凡之路-单条件模糊查询

摘要：并且如果使用那么必须要指明值使用简单的数据类型不好使使用接口代理模式的注解也可以

属于MyBatis的核心之一,这里面的坑比较多,大家多多看看吧

我会使用resultMap处理结果集数据

映射文件

    
    
        SELECT * FROM skill WHERE skill_name LIKE "%s%"
    

Java测试代码

    @Test
    public void 固定条件的模糊查询(){
        SqlSession sqlSession = null;
        try {
            sqlSession = MyBatisUtils.getSqlSession();
            //定位执行
            List tempList =
                    sqlSession.selectList(Skill.class.getName()+".listLike01");
            System.out.println(tempList);
        } finally {
            MyBatisUtils.closeSqlSession(sqlSession);
        }
    }

请注意: 这里使用了单元测试@Test注解

图解说明

映射文件

    
    
        SELECT * FROM skill WHERE skill_name LIKE #{name}
    

Java测试代码

    @Test
    public void 通过Java程序完成模糊查询(){
        SqlSession sqlSession = null;
        try {
            sqlSession = MyBatisUtils.getSqlSession();
            //定位执行
            String name = "%s%";// --> 拼接的字符串
            List tempList =
                    sqlSession.selectList(Skill.class.getName()+".listLike02",name);
            System.out.println(tempList);
        } finally {
            MyBatisUtils.closeSqlSession(sqlSession);
        }
    }

图解说明

映射文件

    
    
        SELECT * FROM skill WHERE skill_name LIKE CONCAT("%",#{name},"%")
    

concat 拼接字符串

Java测试代码

    @Test
    public void 通过SQL语句函数完成模糊查询(){
        SqlSession sqlSession = null;
        try {
            sqlSession = MyBatisUtils.getSqlSession();
            //定位执行
            String name = "s";// --> 只是自己处理
            List tempList =
                    sqlSession.selectList(Skill.class.getName()+".listLike03",name);
            System.out.println(tempList);
        } finally {
            MyBatisUtils.closeSqlSession(sqlSession);
        }
    }

图解说明

这里涉及到一道面试题 : MyBatis框架中#{}和${}的区别? - 请见附录1

映射文件

    
    
        SELECT * FROM skill WHERE skill_name LIKE CONCAT("%","${shxt}","%")
    

Java测试代码

    @Test
    public void 模糊查询(){//${}完成模糊查询
        SqlSession sqlSession = null;
        try {
            sqlSession = MyBatisUtils.getSqlSession();
            //定位执行
            Map map = new HashMap();
            map.put("shxt", "s");// 注意 -> 需要设置 KEY 不然无法获取
            List tempList =
                    sqlSession.selectList(Skill.class.getName()+".listLike04",map);
            System.out.println(tempList);
        } finally {
            MyBatisUtils.closeSqlSession(sqlSession);
        }
    }

图解说明

我一般使用${}就是在设置表名或者排序的时候使用

映射文件

    
        SELECT * FROM skill ORDER BY skill_id ${shxt}
    

Java测试代码

    @Test
    public void 排序(){//${}完成模糊查询
        SqlSession sqlSession = null;
        try {
            sqlSession = MyBatisUtils.getSqlSession();
            Map map = new HashMap();
            map.put("shxt", "DESC");
            List tempList =
                    sqlSession.selectList(Skill.class.getName()+".order01",map);
            System.out.println(tempList);
        } finally {
            MyBatisUtils.closeSqlSession(sqlSession);
        }
    }

图解说明

mybatis 中使用 sqlMap 进行 sql 查询时，经常需要动态传递参数，例如我们需要根据用户的姓名来筛选用户时，sql 如下：

select * from sys_user where name="pangsir";

上述 sql 中，我们希望 name 后的参数 "pangsir" 是动态可变的，即不同的时刻根据不同的姓名来查询用户。在 sqlMap 的 xml 文件中使用如下的 sql 可以实现动态传递参数 name：

select * from user where name = #{name};

或者

select * from user where name = "${name}";

对于上述这种查询情况来说，使用 #{ } 和 ${ } 的结果是相同的，但是在某些情况下，我们只能使用二者其一。

动态 SQL 是 mybatis 的强大特性之一，也是它优于其他 ORM 框架的一个重要原因。mybatis 在对 sql 语句进行预编译之前，会对 sql 进行动态解析，解析为一个 BoundSql 对象，也是在此处对动态 SQL 进行处理的。

在动态 SQL 解析阶段， #{ } 和 ${ } 会有不同的表现：

#{ } 解析为一个 JDBC 预编译语句（prepared statement）的参数标记符。

例如，sqlMap 中如下的 sql 语句

select * from user where name = #{name};

解析为：

select * from user where name = ?;

一个 #{ } 被解析为一个参数占位符 ? ,使用Jdbc的预处理对象对数据进行处理.

然而 , ${ } 仅仅为一个纯碎的 string 替换，在动态 SQL 解析阶段将会进行变量替换.
例如，sqlMap 中如下的 sql

select * from user where name = "${name}";

当我们传递的参数为 "pangsir" 时，上述 sql 的解析为：

select * from user where name = "pangsir";

预编译之前的 SQL 语句已经不包含变量 name 了。

综上所得， ${ } 的变量的替换阶段是在动态 SQL 解析阶段，而 #{ }的变量的替换是在 DBMS 中。

首先这是为了性能考虑的，相同的预编译 sql 可以重复利用。
其次，${ } 在预编译之前已经被变量替换了，这会存在 sql 注入问题。例如，如下的 sql，
案例说明

select * from ${tableName} where name = #{name}

假如，我们的参数 tableName 为 user; delete user; --，那么 SQL 动态解析阶段之后，预编译之前的 sql 将变为

select * from user; delete user; -- where name = ?;

-- 之后的语句将作为注释，不起作用，因此本来的一条查询语句偷偷的包含了一个删除表数据的 SQL！

这是因为，表名是字符串，使用 sql 占位符替换字符串时会带上单引号 ""，这会导致 sql 语法错误，例如：

select * from #{tableName} where name = #{name};

预编译之后的sql 变为：

select * from ? where name = ?;

假设我们传入的参数为 tableName = "user" , name = "pangsir"，那么在占位符进行变量替换后，sql 语句变为

select * from "user" where name="pangsir";

上述 sql 语句是存在语法错误的，表名不能加单引号 ""（注意，反引号 ``是可以的）。

并且,如果使用${}那么必须要指明KEY值,使用简单的数据类型不好使,使用接口代理模式的@Param注解也可以