使用LamdbaUpdateWrapper的setSql作用及风险

问题引入

先思考下:我们要对数据库里面的某条数据进行更新,并且想要在某个字段原先的基础上修改,我们怎么办?

正常的情况下,我们需要先查出来再更新,可就是想直接更新,那就需要去Mapper中写sql,就为了一个字段感觉费劲,在这种情况下使用LamdbaUpdateWrapper的setSql()方法即可。

1
2
3
4
5
6
//把num字段加5
LambdaUpdateWrapper<User> updateWrapper = Wrappers.<User>lambdaUpdate()
.eq(User::getId, userId)
.setSql("count = count + 5");

userService.update(updateWrapper);

BUT,这样就会存在可能有风险,主要还是为了测试mybatis-plus,是否进行的防范,经过测试,并没有。

比如就使用最常见的 sleep(),把这部分加到sql段中 + sleep(5)

1
2
3
LambdaUpdateWrapper<User> updateWrapper = Wrappers.<User>lambdaUpdate()
.eq(User::getId, userId)
.setSql("count = count + 5 + sleep(5)");

image-20220418154212043

不过话说回来,这也就是开发人员能接触到的,只是证明mybatis-plus并没有对setSql()进行过滤,是采取直接拼上去的方式。

每日单词

image-20220418154234138