1. sql中字符串拼接 SELECT * FROM tableName WHERE name LIKE CONCAT(CONCAT('%', #{text}), '%'); 2. 使用 ${...} 代替 #{...} SELECT * FROM tableName WHERE name LIKE '%${text}%'; ${}解析过来的参数值不带单引号,#{}解析传过来参数带单引号. 使用第二种${}的拼接存在sql注入攻击的风险,例如例2中查询的是 1' or 1=1 or '1 就会…