风险介绍

Mybatis的SQL语句可以基于注解的方式写在类方法上面，更多的是以xml的方式写到xml文件。

Mybatis中SQL语句需要我们自己手动编写或者用generator自动生成。编写xml文件时，Mybatis支持两种参数符号，一种是#，另一种是$。比如：

xml
    <select id="queryAll"  resultMap="resultMap">  SELECT * FROM NEWS WHERE ID = #{id}</select>

使用预编译，$使用拼接SQL。 Mybatis框架下易产生SQL注入漏洞的情况主要分为以下三种：

1、模糊查询

xml
    select * from news where title like ‘%#{title}%’

在这种情况下使用#程序会报错，新手程序员就把#号改成了$,这样如果java代码层面没有对用户输入的内容做处理势必会产生SQL注入漏洞。

正确写法： mysql：

xml
    select * from news where tile like concat('%',#{title}, '%')

oracle：

xml
    select * from news where tile like '%'||#{title}||'%'

2、in 之后的多个参数 in之后多个id查询时使用# 同样会报错，

xml
    Select * from news where id in (#{ids})

正确用法为使用foreach，而不是将#替换为$

xml
    id in<foreach collection="ids" item="item" open="("separatosr="," close=")">#{ids} </foreach>

3、order by 之后 这种场景应当在Java层面做映射，设置一个字段/表名数组，仅允许用户传入索引值。这样保证传入的字段或者表名都在白名单里面。需要注意的是在mybatis-generator自动生成的SQL语句中，order by使用的也是$，而like和in没有问题。

Mybatis	JdbcType	Oracle	MySql
JdbcType	ARRAY
JdbcType	BIGINT	BIGINT
JdbcType	BINARY
JdbcType	BIT	BIT
JdbcType	BLOB	BLOB	BLOB
JdbcType	BOOLEAN
JdbcType	CHAR	CHAR	CHAR
JdbcType	CLOB	CLOB	CLOB
JdbcType	CURSOR
JdbcType	DATE	DATE	DATE
JdbcType	DECIMAL	DECIMAL	DECIMAL
JdbcType	DOUBLE	NUMBER	DOUBLE
JdbcType	FLOAT	FLOAT	FLOAT
JdbcType	INTEGER	INTEGER	INTEGER
JdbcType	LONGVARBINARY
JdbcType	LONGVARCHAR	LONG	VARCHAR
JdbcType	NCHAR	NCHAR
JdbcType	NCLOB	NCLOB
JdbcType	NULL
JdbcType	NUMERIC	NUMERIC/NUMBER	NUMERIC/
JdbcType	NVARCHAR
JdbcType	OTHER
JdbcType	REAL	REAL	REAL
JdbcType SMALLINT	SMALLINT	SMALLINT
JdbcType	STRUCT
JdbcType	TIME	TIME
JdbcType	TIMESTAMP	TIMESTAMP	TIMESTAMP/DATETIME
JdbcType	TINYINT	TINYINT
JdbcType	UNDEFINED
JdbcType	VARBINARY
JdbcType	VARCHAR	VARCHAR	VARCHAR

java开启新线程：🏝️

方法1：继承Thread类

1）：定义bai一个继承自Java.lang.Thread类的du类A.

2）：覆盖zhiA类Thread类中的run方法。

3）：我们编写需要在run方法中执行的操作：run方法中的代码，线程执行体。

4）：在main方法（线程）中，创建一个线程对象并启动线程。

(1)创建线程类对象:

A类 a = new A类();

(2)调用线程对象的start方法:

a.start();//启动一个线程

注意：不要调用run方法。如果run方法被称为对象调用方法，则仍然只有一个线程，并且没有启动新线程。

创建启动线程实例：

//定义一个类A 继承java.lang.Thread class A extends Thread{ //A类 覆盖Thread类中的 run方法 @Override public void run(){ //在run方法填写要执行的操作 for (int j = 0 ;j<10;j++){ System.out.println("执行方法A的逻辑"+j); } } }

介绍

代码自动生成器非常好用，我们只需要提供我们数据库的表名，然后就可以让生成器自动帮我们完成各种代码的创建，整个过程非常清爽，可以说是加班人的福利！

引入依赖

xml
<!--        mybatisplus代码生成依赖-->
        <dependency>
            <groupId>com.baomidou</groupId>
            <artifactId>mybatis-plus-generator</artifactId>
            <version>3.1.1</version>
        </dependency>
        <dependency>
            <groupId>org.apache.velocity</groupId>
            <artifactId>velocity-engine-core</artifactId>
            <version>2.1</version>
        </dependency>

简介

Knife4j是一款基于Swagger 2的在线API文档框架，是日常开发中很常用的框架，基于此框架，后端可以和前端开发人员进行高效沟通。 官网

引入knife4j依赖

xml
<dependency>
    <groupId>com.github.xiaoymin</groupId>
    <artifactId>knife4j-openapi2-spring-boot-starter</artifactId>
    <version>4.0.0</version>
</dependency>

配置yml

yml
knife4j:
  enable: true
  openapi:
    title: SpringWeb官方文档
    description: "学习SpringWeb框架集成的项目"
    email: 823621247@qq.com
    concat: 如痴如醉
    url: https://localhost:8080/doc.html
    version: v4.0
    license: Apache 2.0
    license-url: https://stackoverflow.com/
    terms-of-service-url: https://stackoverflow.com/
    group:
      test1:
        group-name: 控制器
        api-rule: package
        api-rule-resources:
          - com.lhw.controller

重启服务器输入localhost/doc.html即可进入