MyBatis构建sql时动态传入表名以及字段名

　一直在使用Mybatis这个ORM框架，都是使用mybatis里的一些常用功能。今天在项目开发中有个业务是需要限制各个用户对某些表里的字段查询以及某些字段是否显示，如某张表的某些字段不让用户查询到。这种情况下，就需要构建sql来动态传入表名、字段名了。现在对解决方法进行下总结，希望对遇到同样问题的伙伴有些帮助。

　　动态SQL是mybatis的强大特性之一，mybatis在对sql语句进行预编译之前，会对sql进行动态解析，解析为一个BoundSql对象，也是在此处对动态sql进行处理。下面让我们先来熟悉下mybatis里#{}与${}的用法：

　　在动态sql解析过程，#{}与${}的效果是不一样的：

 

#{ } 解析为一个 JDBC 预编译语句（prepared statement）的参数标记符。

　　如以下sql语句

select * from user where name = #{name};

　　会被解析为：

select * from user where name = ?;

　　可以看到#{}被解析为一个参数占位符？。

 

${ } 仅仅为一个纯碎的 string 替换，在动态 SQL 解析阶段将会进行变量替换

　　如以下sql语句：

select * from user where name = ${name};

　　当我们传递参数“sprite”时，sql会解析为：

select * from user where name = "sprite";

　　可以看到预编译之前的sql语句已经不包含变量name了。

综上所得， ${ } 的变量的替换阶段是在动态 SQL 解析阶段，而 #{ }的变量的替换是在 DBMS 中。

　

#{}与${}的区别可以简单总结如下：

  • #{}将传入的参数当成一个字符串，会给传入的参数加一个双引号
  • ${}将传入的参数直接显示生成在sql中，不会添加引号
  • #{}能够很大程度上防止sql注入，${}无法防止sql注入

　　${}在预编译之前已经被变量替换了，这会存在sql注入的风险。如下sql

select * from ${tableName} where name = ${name}

　　如果传入的参数tableName为user; delete user; --，那么sql动态解析之后，预编译之前的sql将变为：

select * from user; delete user; -- where name = ?;

　　--之后的语句将作为注释不起作用，顿时我和我的小伙伴惊呆了！！！看到没，本来的查询语句，竟然偷偷的包含了一个删除表数据的sql，是删除，删除，删除！！！重要的事情说三遍，可想而知，这个风险是有多大。

  • ${}一般用于传输数据库的表名、字段名等
  • 能用#{}的地方尽量别用${}

　　进入正题，通过上面的分析，相信大家可能已经对如何动态调用表名和字段名有些思路了。示例如下：

  <select id="getUser" resultType="java.util.Map" parameterType="java.lang.String" statementType="STATEMENT">
    select 
        ${columns}
    from ${tableName}
        where COMPANY_REMARK = ${company}
  </select>

　　要实现动态调用表名和字段名，就不能使用预编译了，需添加statementType="STATEMENT"" 。

statementType：STATEMENT（非预编译），PREPARED（预编译）或CALLABLE中的任意一个，这就告诉 MyBatis 分别使用Statement，PreparedStatement或者CallableStatement。默认：PREPARED。这里显然不能使用预编译，要改成非预编译。

　　其次，sql里的变量取值是${xxx},不是#{xxx}。

　　因为${}是将传入的参数直接显示生成sql，如${xxx}传入的参数为字符串数据，需在参数传入前加上引号，如：

        String name = "sprite";
        name = "'" + name + "'";

　　

　　mybatis动态调用表名和字段名，还可以应用于日志的收集上，如数据库的日志表，每隔一个月动态建一个日志表，表名前缀相同（如log_201610,log_201611等），这样实现日志的分月分表存储，方便日志的分析。

--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

 

用了mybatis很长一段时间了，但是感觉用的都是比较基本的功能，很多mybatis相对ibatis的新功能都没怎么用过。比如其内置的注解功能之类的。这次遇到了一个问题，每次我们在配置mybaits时，需要在mapping.sql.xml文件中写对应的执行sql脚本。这时我们一般会先定义实体类来作为sql的返回类型或者执行sql的参数类型。比如如下代码

Java代码  
  1. <select id="queryApplyStatusNum" parameterType="ApplyCriteria"  
  2.         resultType="ApplyStatusNumDto">  
  3.         select  
  4.         o.statecode as statusCode,count(*) as statusNum  
  5.         from  
  6.         TM_ConsultationApply o  
  7.         where  
  8.         <if test="doctorCode != null and doctorCode != ''"> o.DoctorCode = #{doctorCode} and </if>  
  9.         <if test="beginDate != null and endDate != null">  
  10.             ((trunc(o.AppointBeginDate )&lt;=  
  11.             to_date(#{endDate},'yyyy/mm/dd')) and  
  12.             (to_date(#{beginDate},'yyyy/mm/dd')  
  13.             &lt;=o.AppointEndDate)) and  </if>  
  14.         1=1  
  15.         group by o.statecode  
  16. </select>  

     这是个很简单的查询，其中parameterType为对应的参数实体类，这些类中的字段将会替换sql语句中的类似#{}的语句，使之成为完整的sql 语句。同样的，resultType同样对应的是返回值的实体类。这里可以细说一下，其实在mybatis中，无论你指定还是不指定返回类型，mybatis都会默认的先将查询回的值放入一个hashMap中（如果返回的值不止一条就是一个包含hashMap的list）。这其中的区别在于，如果你指定了返回类型，mybatis将会根据返回类型的实体类来从hashMap中获取值并set到这个实体类中。如果不指定就默认返回一个HashMap<String,Object>（List<HashMap<String,Object>>）。

      okay~大概讲解到此，说说这次的问题。以前都是指定了实体类，然后写好sql语句直接套用就可以了。但是现在有个问题，万一你的物理模型不确定，也即是你的表结构不确定，甚至连表名字都不确定该怎么办呢？我这次遇到了这个问题。我们有个需求，事先定义好了很多数据集的信息模型，针对这些信息模型生成物理模型。而我们需要针对这些物理模型进行操作。而这些数据集一旦更新，信息模型以及物理模型都要变动，所以事先不可能完全确定物理表结构等等信息。此时应该怎么在mybatis中进行处理呢？

      这里在说一下mybatis中一个属性：statementType。这个属性的作用是告诉mybatis我们写的这个sql到底是预编译（PRESTATEMENT）还是非预编译（STATEMENT）的。有什么区别呢？如果是预编译的，那么系统在初始化时就会读取这段sql代码，将指定的实体类中的字段替换了类似#{}这样的语句，就是形成了类似这样的语句：

"select * from tableName where code=?" 这个时候你在系统运行时再想向这句sql中替换tableName或者code，结果可想而知。如果是非预编译呢，结果刚好相反，他会在系统运行时才会去生成这样类似的语句。此时就可以去替换这些动态的字段或者表名之类。这样在结合之前所讲的返回类型的设置，我们的问题就解决了

。我们可以不用设定参数和返回类型的实体类，只需要形成一个动态的表名和字段名的列表类。就可以动态对那些未知的物理模型进行操作.如下代码可作参考：

Sql代码  
  1. <select id="queryMetaList" resultType="Map" statementType="STATEMENT">  
  2.         select * from ${tableName} t where  
  3.         <foreach item="item" index="index" collection="field" open=" "  
  4.             separator="and" close=" ">  
  5.             <choose>  
  6.                 <when test="item.fieldType == 'DATE' and item.dateQueryFlag == 0">  
  7.                     ${item.fieldCode} between  
  8.                     to_date('${item.fieldValue}','yyyy-mm-dd  
  9.                     hh24:mi:ss')   
  10.                 </when>  
  11.                 <when test="item.fieldType == 'DATE' and item.dateQueryFlag == 1">  
  12.                     to_date('${item.fieldValue}','yyyy-mm-dd  
  13.                     hh24:mi:ss')   
  14.                 </when>  
  15.                 <when test="item.fieldItemCode != null and item.fieldItemCode != ''">  
  16.                     ${item.fieldCode} =  
  17.                     '${item.fieldItemCode}'  
  18.                 </when>  
  19.                 <otherwise>  
  20.                     ${item.fieldCode} =  
  21.                     '${item.fieldValue}'  
  22.                 </otherwise>  
  23.             </choose>  
  24.         </foreach>  
  25.   
  26. </select>  

对了，漏了一句，如果是非预编译的话，最好使用${}而不是#{}

 

-----------------------------------------------------------------------------------------------------

https://blog.csdn.net/Edison_03/article/details/77413099

posted @ 2019-06-24 17:30  长袖保暖  阅读(7076)  评论(0)  编辑  收藏  举报