V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
MySQL 5.5 Community Server
MySQL 5.6 Community Server
Percona Configuration Wizard
XtraBackup 搭建主从复制
Great Sites on MySQL
Percona
MySQL Performance Blog
Severalnines
推荐管理工具
Sequel Pro
phpMyAdmin
推荐书目
MySQL Cookbook
MySQL 相关项目
MariaDB
Drizzle
参考文档
http://mysql-python.sourceforge.net/MySQLdb.html
wunonglin
V2EX  ›  MySQL

mysql order by 如何自定义列?

  •  
  •   wunonglin · 97 天前 · 1590 次点击
    这是一个创建于 97 天前的主题,其中的信息可能已经有所发展或是发生改变。
    SELECT a, b, c, d FROM table ORDER BY a DESC;
    

    order by 是动态的根据传入的 a,b,c,d 带进去的。

    我从 orm 插入后是个字符串.....

    SELECT a, b, c, d FROM table ORDER BY 'a' DESC;
    
    13 条回复    2021-08-29 12:18:50 +08:00
    ooh
        1
    ooh  
       97 天前
    啥语言 哪个 orm 库
    Variazioni
        2
    Variazioni  
       97 天前
    写法取决于你用的 orm 库
    strawberryBug
        3
    strawberryBug  
       97 天前 via Android
    入参做了严格检验的话,字段可以用 sql 注入
    qping
        4
    qping  
       97 天前
    java mybatis 的话是 ${} 和 #{} 的区别
    Oktfolio
        5
    Oktfolio  
       97 天前
    直接拼接上去,不要用 preparedstatement 噢,注意限制字段
    vindac
        6
    vindac  
       97 天前
    字符串拼接
    opengps
        7
    opengps  
       97 天前
    整个查询语句包裹一层,然后后重新使用 order by 对别名列排序
    NutChocHoney
        8
    NutChocHoney  
       97 天前
    mybatis 的话 用#{}就会有这个问题
    passerbytiny
        9
    passerbytiny  
       97 天前 via Android
    order by 后面的列,只能是拼接 SQL 拼接上去,不能用预编译后再设置参数。
    wunonglin
        10
    wunonglin  
    OP
       97 天前
    golang 的 gorm,用?拼上去的。

    好像看来只能用拼字符串了。会不会出现注入问题啊
    acr0ss
        11
    acr0ss  
       97 天前
    从官方文档来看: https://dev.mysql.com/doc/refman/8.0/en/select.html

    [ORDER BY {col_name | expr | position}
    [ASC | DESC], ... [WITH ROLLUP]]

    这里 order by 只接收 3 种形式:
    1. 字段名,包含 alias ; 支持用`包裹,例如 `a`;
    2. expr 表达式,例如 concat(a, b)
    3. position,数字引用,例如 1,表示第一个 select 字段。

    就目前问题描述来看,如果 SQL 是最终执行的语句,会解析为第二种。
    即所有行的表达式都是常量 'a',这个 order by 等于无效。
    Jooooooooo
        12
    Jooooooooo  
       97 天前
    拼一下

    注意注入, 不要让外部传入这个拼的东西, 或者内部做校验
    zlujackie
        13
    zlujackie  
       95 天前 via Android
    @vindac
    关于   ·   帮助文档   ·   API   ·   FAQ   ·   我们的愿景   ·   广告投放   ·   感谢   ·   实用小工具   ·   2652 人在线   最高记录 5497   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 38ms · UTC 13:13 · PVG 21:13 · LAX 05:13 · JFK 08:13
    ♥ Do have faith in what you're doing.