mybatis的模糊查询like报sql注入问题

        在我一个项目中，dao层用的mybatis-plus，由于查询条件由用户随机选择组合，所以xml用了来拼接查询条件。先说说场景吧，开始有3个条件随机组合，也就是xml里有3个，其中最后一个条件是like模糊查询，项目上线没有任务问题，后来业务变更，把第二个的也改成模糊查询。

如下图：catName是模糊查询，在xml拼接%,现在业务变更，要把第二个条件catAddr这个也改成like模块查询。

这个一看比较简单，就按照第三个条件修改就行了呗，第二个条件改成了

t.cat_addr like '%'||#{catAddr}||'%'

结果问题出现了，当查询条件catAddr和catName同时出现时，会报sql注入

日了鬼了~~~~~~~~~

啥情况！！！

        原来，当在xml中like模糊查询拼接%时，当模糊查询条件拼接在中间时（like后面还有查询条件， 例如：select * from tab_cat where cat_age='18' and cat_addr like '%北京' and cat_name like '%花'），mybatis认为存在sql注入。如果模糊查询like出现在where最后，是没有问题的。

解决办法也简单，把所有的like模糊查询拼接%放点java代码，不要在xml拼接就行了。

java里的拼接%如下：

params.put("catAddr","%"+catName+"%");//params是一个map

以前项目写代码基本都是在java代码中拼接%，也没想过为什么，直到这次遇到这件事，才发现是有原因的。记录下事情经过，既告诫自己也提醒下其他小伙伴吧