mysql order by 如何自定义列?
SELECT a, b, c, d FROM table ORDER BY a DESC;
order by 是动态的根据传入的 a,b,c,d 带进去的。
我从 orm 插入后是个字符串.....
SELECT a, b, c, d FROM table ORDER BY 'a' DESC;
啥语言 哪个 orm 库
写法取决于你用的 orm 库
入参做了严格检验的话,字段可以用 sql 注入
java mybatis 的话是 ${} 和 #{} 的区别
直接拼接上去,不要用 preparedstatement 噢,注意限制字段
字符串拼接
整个查询语句包裹一层,然后后重新使用 order by 对别名列排序
mybatis 的话 用#{}就会有这个问题
order by 后面的列,只能是拼接 SQL 拼接上去,不能用预编译后再设置参数。
golang 的 gorm,用?拼上去的。
好像看来只能用拼字符串了。会不会出现注入问题啊
从官方文档来看: dev.mysql.com/doc/refman/8.0/en/select.html
[ORDER BY {col_name | expr | position}
[ASC | DESC], ... [WITH ROLLUP]]
这里 order by 只接收 3 种形式:
- 字段名,包含 alias ; 支持用
包裹,例如
a`; - expr 表达式,例如 concat(a, b)
- position,数字引用,例如 1,表示第一个 select 字段。
就目前问题描述来看,如果 SQL 是最终执行的语句,会解析为第二种。
即所有行的表达式都是常量 'a',这个 order by 等于无效。
拼一下
注意注入, 不要让外部传入这个拼的东西, 或者内部做校验
哦
测试地址: www.oxyry.com/test/img.html 点 Move 后,图片在动画移动中消失了!动画完成后才出来。 这个在别的浏览器没问题,在我的 iPhone…
最近一直很焦虑,感觉自己 25 了啥也没有,职业发展前景也不光明,也没有感情生活,最近就全靠学习麻痹自己,感觉就学习能让自己不那么焦虑(脑袋里就想着好像学习能改变现状,实际不能…
Java 转行,目前加起来 Java 开发经验一年多一点,HR 给我发了两道题,第一道是具有层级关系的城市,例如"中国 广州","中国 浙江 杭州" 一个 List 最后应该是…