2013 年 10月 12 日随笔档案 - bingtel

摘要： 1. ${} 是直接进行替换，原样输出，不安全；2. #{}作为字符串进行替换，能够预编译，有效防止sql注入！所以CONCAT(CONCAT('%', #{param}), '%')可以等同于'%${param}%' 阅读全文

posted @ 2013-10-12 22:01 bingtel 阅读(144) 评论(0) 推荐(0) 编辑