sql注入参数报错,关于日期范围,传参

Question

Date date1 = new Date();
Long times = new Date().getTime() - 1000 * 24 * 60 * 60;
date1.setTime(times);
Date date2 = new Date();
SimpleDateFormat sdf = new SimpleDateFormat("yyyyMMddHHmmss");
String startTime = sdf.format(date1);
String endsTime = sdf.format(date2);
List list = tfeepaidDao.queryTfeepaidSucc(startTime, endsTime);

@Query(value = "select * from tfeepaid where fstatus in (1,2) and flastcommit>=?d1 and flastcommit<?d2", nativeQuery = true)
    List<Tfeepaid> queryTfeepaidSucc(String d1, String d2);

    ![图片说明](https://img-ask.csdn.net/upload/201903/12/1552370821_836933.png)

Answer 1

注意Java代码中的日期格式和SQL语句中的日期格式保持一致。

使用DATE_FORMAT将日期字段转换成字符串， 如 DATE_FORMAT(日期, '%Y-%m-%d %H:%i:%S')，
然后再和SimpleDateFormat 转换出来的日期格式进行比较，记得两边保持一致。

DATE_FORMAT(日期, '%Y-%m-%d %H:%i:%S')
和
new SimpleDateFormat("yyyy-MM-dd HH:mm:ss")
保持一致。