在使用 MyBatis 進行數據庫操作時，我們常常會遇到需要處理特殊字符串的情況。特別是在 SQL 查詢中，如何處理字符串中的特殊字符是一個非常重要的問題。如果處理不好，可能會導致 SQL 錯誤，甚至造成安全隱患，比如 SQL 注入。

今天我們來聊聊 MyBatis 中的特殊字符串處理，并分享一些使用 MyBatis 的小技巧，幫助你更高效地使用這個框架。

1. 字符串拼接中的特殊字符

在 MyBatis 中，我們經常需要動態構建 SQL 查詢。例如，拼接 WHERE 條件，或者根據用戶輸入拼接查詢條件。此時，字符串中的特殊字符（如 %、_、' 等）會影響 SQL 的執行，甚至導致 SQL 錯誤。

1.1. 處理 LIKE 查詢中的通配符

假設我們要查詢名字中包含某個關鍵詞的用戶，SQL 查詢通常會用 LIKE：

SELECT * FROM users WHERE name LIKE '%張%';

但如果用戶輸入的關鍵詞中包含了 % 或 _，就會干擾查詢結果。比如，用戶輸入 %% 或 _a，這樣可能導致 SQL 查詢的錯誤或不準確。為了避免這種問題，我們需要對這些特殊字符進行處理。

在 MyBatis 中，我們可以通過使用 escapeLike 函數來解決這個問題。escapeLike 會自動轉義 % 和 _，避免它們干擾 SQL 查詢。

1.2. 代碼示例

<select id="findUserByName" resultType="User">
  SELECT * FROM users
  WHERE name LIKE CONCAT('%', #{name}, '%')
</select>

在這個例子中，我們使用 CONCAT 來拼接查詢條件，并且 MyBatis 會自動處理輸入中的特殊字符。你也可以使用 escapeLike 來確保 % 和 _ 被正確轉義。

2. 防止 SQL 注入

SQL 注入是 Web 應用中常見的安全問題。如果在 SQL 查詢中直接拼接用戶輸入，攻擊者就能通過精心構造的惡意輸入，操控 SQL 語句，從而篡改數據或者泄露敏感信息。

2.1. 使用 #{} 占位符

為了防止 SQL 注入，最好的方式是使用 #{} 占位符，這樣 MyBatis 會自動將輸入的值進行轉義處理，確保 SQL 的安全性。

例如，下面的查詢會自動防止 SQL 注入：

<select id="findUserByName" resultType="User">
  SELECT * FROM users WHERE name = #{name}
</select>

無論用戶輸入什么內容，MyBatis 都會自動轉義，防止 SQL 注入的發生。

2.2. SQL 注入防護示例

假設用戶輸入了 abc' OR 1=1 --，如果我們直接將這個輸入拼接到 SQL 查詢中，會導致 SQL 注入，嚴重時可以讓攻擊者獲取數據庫中的所有數據。但使用 #{} 占位符后，MyBatis 會對這個輸入進行轉義，從而避免 SQL 注入風險。

<select id="findUserByName" resultType="User">
  SELECT * FROM users WHERE name = #{name}
</select>

3. 自動轉義特殊字符

在 MyBatis 中，很多特殊字符都會自動處理。比如，SQL 查詢中常用的單引號 '，如果用戶輸入的值包含單引號，MyBatis 會自動轉義為兩個單引號 ''，避免語法錯誤。

3.1. 單引號轉義

假設用戶輸入了 O'Conner，如果不進行轉義，SQL 語句會因為單引號的存在而報錯。通過 MyBatis，輸入會自動轉義為 O''Conner，這樣就避免了問題。

3.2. 代碼示例

<select id="findUserByName" resultType="User">
  SELECT * FROM users WHERE name = #{name}
</select>

無論 name 的值是什么，MyBatis 會確保它被正確轉義，避免 SQL 注入或語法錯誤。

4. MyBatis 使用小技巧

除了處理特殊字符串外，MyBatis 還提供了一些非常實用的小技巧，可以幫助我們更高效地進行開發。

4.1. 使用 trim 自動去除 SQL 語句中的多余空格

在動態 SQL 中，使用 if、where 等標簽拼接 SQL 時，有時會出現多余的空格。為了避免這種情況，可以使用 trim 標簽，它會自動去除多余的空格。

<trim prefix="WHERE" suffixOverrides="AND">
  <if test="name != null">AND name = #{name}</if>
  <if test="age != null">AND age = #{age}</if>
</trim>

通過 trim 標簽，SQL 查詢中的多余空格就能被自動去除，保證 SQL 語法正確。

4.2. 使用 choose 優化復雜的條件判斷

在復雜的動態 SQL 中，我們可以使用 choose 標簽，它的作用類似于 Java 中的 switch，根據條件選擇性地拼接 SQL。

<choose>
  <when test="type == 1">SELECT * FROM users WHERE status = 'active'</when>
  <when test="type == 2">SELECT * FROM users WHERE status = 'inactive'</when>
  <otherwise>SELECT * FROM users</otherwise>
</choose>

通過 choose 標簽，我們可以使 SQL 更簡潔、可讀性更強。

4.3. 使用 foreach 批量插入數據

如果需要插入大量數據，使用 foreach 標簽可以避免多次執行 SQL，提高效率。

<insert id="batchInsert" parameterType="List">
  INSERT INTO users (name, age)
  <foreach collection="list" item="user" separator=",">
    (#{user.name}, #{user.age})
  </foreach>
</insert>

通過 foreach，可以將多個插入操作合并為一個 SQL 執行，極大提高批量操作的效率。

4.4 巧用 include 標簽復用 SQL 片段

include 標簽可以將一個 SQL 片段（通常是 sql 標簽定義的片段）引入到其他 SQL 查詢中。這樣，當需要在多個地方使用相同的 SQL 片段時，可以避免重復編寫代碼。

<sql id="userColumns">
    user_id, user_name, email, phone, create_time
</sql>

<sql id="userWhere">
    <where>
        <iftest="name != null">AND user_name LIKE #{name}</if>
        <iftest="email != null">AND email = #{email}</if>
        <iftest="status != null">AND status = #{status}</if>
    </where>
</sql>

<select id="findUsers" resultType="User">
    SELECT <include refid="userColumns"/>
    FROM users
    <include refid="userWhere"/>
</select>

<select id="countUsers" resultType="int">
    SELECT COUNT(*) FROM users
    <include refid="userWhere"/>
</select>

5. 總結

MyBatis 是一個非常強大的 ORM 框架，它為我們提供了靈活且安全的方式來操作數據庫。在實際開發中，我們需要特別注意如何處理字符串中的特殊字符，防止 SQL 注入和語法錯誤。通過使用 MyBatis 提供的占位符和內置函數，我們可以高效地解決這些問題。

同時，掌握一些 MyBatis 的小技巧（如 trim、choose、foreach 等）可以讓我們的 SQL 查詢更加簡潔和高效。希望今天的分享能對你的 MyBatis 開發之路有所幫助！