${} 拼接 LIKE 会导致 SQL 注入，因 MyBatis 直接字符串替换、绕过预编译，使用户输入如 admin' OR '1'='1 被数据库当作完整 SQL 解析，造成全表泄露。
必须用 #{} 绑定参数，通配符由 Java 层或数据库函数拼接，${} 在 LIKE 中等于主动开后门。
为什么 ${} 拼 LIKE 就是 SQL 注入
写成 WHERE name LIKE '%${keyword}%' 时，MyBatis 直接把字符串替换进 SQL，不经过 JDBC 预编译。用户输 admin' OR '1'='1 ，最终执行的就是：
WHERE name LIKE '%admin' OR '1'='1%'
数据库会把它当完整 SQL 解析，OR '1'='1' 恒真，结果查出全表——这不是模糊查询，是数据裸奔。
常见错误包括：
立即学习“Java免费学习笔记（深入）”；
- 用
CONCAT('%', ${keyword}, '%')：只要含${}，就不可信 - 前端传
%张三%再${keyword}插入：攻击者可直接在百分号里塞恶意片段 - 正则校验
sortField.matches("[a-zA-Z_]+")后仍用${sortField}：无法防id, (SELECT ...)这类注入
bind 标签怎么用才真正安全
bind 本身不防注入，它只是帮你把通配符加在 Java 表达式里，再交给 #{} 走预编译。关键在写法和空值处理。
正确示例（MySQL / PostgreSQL / Oracle 通用）：
当用户要求为 Java 代码添加注释、修改注释、审查注释、整理注释格式，或要求按照代码注释规范处理 Java 文件时，使用本技能。本技能用于统一生成和维护 Java 类注释模板、按 Git 对比 release 判断版本号、补充每行代码上方中文块注释、调整注释空行规则，并保持 Java 文件 UTF-8 无 BOM 编码。典型触发场景包括：补充类注释、更新 @version、检查 @author 来源、整理行尾注释、把注释放到代码上一行、检查注释是否符合规范、构建前检查 Java 注释风格。
<bind name="likeName" value="@java.lang.String@format('%s%s%s', '%', keyword, '%')" />
WHERE name LIKE #{likeName}
注意点：
- 不能写
value="'%' + keyword + '%'"：OGNL 不支持+字符串拼接 - 如果
keyword为null，@format返回null，整个条件失效；必须配合<if test="keyword != null and keyword.trim() != ''"></if> - Oracle 中
||遇null结果为null，建议统一用@format或 Java 层提前判空
QueryWrapper 的 like 方法是否绝对安全
是的，queryWrapper.like("name", keyword) 内部已做参数化，不会注入。但有三个隐藏前提：
-
keyword不能是用户原始输入且未清洗：虽然不会执行 SQL，但若含超长字符串（如 10MB），可能拖垮数据库连接或触发日志溢出 - 必须用
StringUtils.isNotBlank(keyword)替代keyword != null：空格、制表符、零宽字符都得过滤 - 长度必须限制：
if (keyword.length() > 50) throw new IllegalArgumentException()，防 DoS 类攻击
更危险的是混用逻辑：.like("name", keyword).or().eq("status", userStatus) 中，userStatus 若来自前端且未白名单校验，仍可能被用于注入（概率低但非零）。
动态列名、排序字段这些 ${} 绕不开的场景怎么办
ORDER BY ${sortField} 这种地方，#{} 无效，因为数据库不允许参数化列名。唯一靠谱做法是硬编码白名单：
private static final Set<String> ALLOWED_SORT_FIELDS = Set.of("name", "create_time", "email");
if (!ALLOWED_SORT_FIELDS.contains(sortField)) {
throw new IllegalArgumentException("Invalid sort field: " + sortField);
}
别信“宽松正则”或“黑名单”：
-
sortField.matches("[a-zA-Z_]+")挡不住id, (SELECT SLEEP(5)) - 只校验一次、放行后缓存或透传到子查询，等于白校验
- 白名单必须覆盖所有合法值，且每次变更需同步更新，不能靠配置文件或 DB 查询加载
真正容易被忽略的，不是“怎么加 %”，而是“谁来决定这个 % 加得合不合理”——空值、长度、组合逻辑、动态结构，每一步都可能让安全链条断掉。
