sql 转义（sql转义字符）

1. 如何在SQL中替换
2. mybatis $符在传参的时候注意哪些
3. 函数通配符的使用

如何在SQL中替换

用replace函数，单引号需要转义一下：select REPLACE('aa,b',',','''')

mybatis $符在传参的时候注意哪些

在 MyBatis 中，$ 符用于直接替换 SQL 语句中的参数，并且不会进行预编译，因此需要注意以下几点：
1. 参数的数据类型：$ 符只是简单的文本替换，不会进行参数类型的匹配和转换。因此，如果参数是字符串类型，在传参时需要使用单引号将参数括起来，以确保参数能正确解析。例如：`WHERE id = '${id}'`。（注意：使用 $ 符传参可能会引发 SQL 注入的安全风险，需要谨慎使用）
2. 参数是否为 SQL 关键字：如果参数值中包含 SQL 关键字（如 SELECT、UPDATE 等），在传参时需要使用转义字符 `\\`。例如：`SELECT * FROM table WHERE column = '\\$param'`。
3. 参数字段的名称：如果传参的字段名称中包含特殊字符（如空格、下划线等），需要使用反引号 \` 将字段名包裹起来。例如：`SELECT * FROM table WHERE `column name` = '${param}'`。
4. 参数不存在时的处理：如果传入的参数在 SQL 语句中不存在，MyBatis 不会抛出异常，而是会将该参数解析成空字符串。因此，在使用 $ 符进行文本替换时，需要确保参数是存在且有值的。
5. SQL 注入的风险：由于 $ 符是直接将参数值拼接到 SQL 语句中，如果用户能够通过参数值传入恶意的 SQL 语句，可能会引发 SQL 注入的安全风险。因此，在使用 $ 符传参时，需要对参数值进行严格的校验和过滤，以避免潜在的安全问题。
总结起来，$ 符在传参时需要注意参数的数据类型、SQL 关键字、特殊字符的处理，并且要防范 SQL 注入的风险。在实际开发中，推荐使用 # 符进行参数的预编译，以提高代码的可维护性和安全性。

在MyBatis中，$符用于替换参数，但同时也存在一些需要注意的问题。首先，$符不会将参数转换为预编译语句，因此可能会导致SQL注入的风险。

其次，$符在传递变量时要注意类型转换，如使用int类型的变量时需要将其转换为String类型。此外，在使用$符时需要注意SQL语句的拼接和空值的处理，以避免出现不必要的错误。因此，在使用$符进行参数传递时，需要认真考虑这些问题并进行适当的处理。

函数通配符的使用

函数通配符可以在数学和编程中使用，通常用于标识一组或一类函数。
在数学中，通配符常用于描述函数的一般形式，这允许我们将一组函数视为相同的“类型”，从而简化问题的解决。
在编程中，通配符可以用于匹配一类函数，如在正则表达式和文件搜索中使用的“*”和“？”通配符。
可以提高代码的可读性和可维护性，但要注意通配符的范围，以避免错误或意外结果。

函数通配符是一种特殊的字符，可以在搜索和匹配文本字符串时使用。函数通配符可以替代任何字符或字符序列，从而使搜索更加灵活和方便。

在 SQL 查询中，常用的函数通配符有以下两种：

1. 百分号（%）通配符：这个通配符可以替代任意数量和类型的字符。例如，如果您搜索 "abc%"，则可以匹配以 "abc" 开头的任何字符串，例如 "abc"，"abc123"，"abcdef"，等等。

2. 下划线（_）通配符：这个通配符只能替代一个字符。例如，如果您搜索 "ab_"，则可以匹配任何以 "ab" 开头，并且有两个字符的字符串，例如 "abc"，"abd"，"abe"，等等。

这些通配符通常与 SQL 中的 LIKE 或者 WHERE 子句一起使用。例如，以下查询可以搜索包含 "abc" 的任何字符串：

到此，以上就是小编对于sql转义字符的问题就介绍到这了，希望介绍的3点解答对大家有用，有任何问题和不懂的，欢迎各位老师在评论区讨论，给我留言。