我正在使用選擇查詢使用以下代碼從我的表中獲取一些行。func (f *UserFilter) ListAllUsers(srch string) (cnt int64, l []*ListResp, err error) { o := orm.NewOrm() var args []interface{} var w string q := `SELECT * FROM users WHERE 1 = 1` if srch != "" { q += ` AND (LOWER(first_name) LIKE %?% OR LOWER(last_name) LIKE %?% OR id = ?)` args = append(args, srch, srch, srch) } _, err = o.Raw(q, args).QueryRows(&l) return}雖然我使用準備好的語句來綁定值，但它們沒有正確轉義字段first_name和last_name. 例如，如果值為srchTes't，它將中斷查詢。有什么方法可以轉義這些值，以便在使用 MySql 驅動程序時防止 SQL 注入？任何幫助深表感謝。提前致謝。
1 回答
呼喚遠方
TA貢獻1856條經驗 獲得超11個贊
%通配符應該在字符串之內，而不是在字符串之外，即... LIKE %'foo'% ...無效，... LIKE '%foo%' ...有效。更多關于LIKE。
func (f *UserFilter) ListAllUsers(srch string) (cnt int64, l []*ListResp, err error) {
o := orm.NewOrm()
var args []interface{}
var w string
q := `SELECT * FROM users WHERE 1 = 1`
if srch != "" {
q += ` AND (LOWER(first_name) LIKE ? OR LOWER(last_name) LIKE ? OR id = ?)`
args = append(args, "%"+srch+"%", "%"+srch+"%", srch)
}
_, err = o.Raw(q, args...).QueryRows(&l)
return
}
或使用mysql的CONCAT：
func (f *UserFilter) ListAllUsers(srch string) (cnt int64, l []*ListResp, err error) {
o := orm.NewOrm()
var args []interface{}
var w string
q := `SELECT * FROM users WHERE 1 = 1`
if srch != "" {
q += ` AND (LOWER(first_name) LIKE CONCAT('%', ?, '%') OR LOWER(last_name) LIKE CONCAT('%', ?, '%') OR id = ?)`
args = append(args, srch, srch, srch)
}
_, err = o.Raw(q, args...).QueryRows(&l)
return
}
- 1 回答
- 0 關注
- 270 瀏覽
添加回答
舉報
0/150
提交
取消