MyBatis-Plus排序字段引号处理机制解析

在MyBatis-Plus 3.5.4版本中，框架对排序字段的处理机制进行了安全升级。当开发者在OrderItem对象中设置包含引号的字段名（如"userId"）时，框架会通过StringUtils.replaceAllBlank()方法自动去除这些特殊字符，最终生成的SQL语句会将字段名转换为userId。

这个改动源于框架对SQL注入防护的加强。引号等特殊字符在SQL语句中可能被恶意利用，因此新版本默认会过滤这些非字段字符。这种处理方式虽然提升了安全性，但也影响了某些特殊场景下的合法使用需求。

对于确实需要使用带引号字段名的场景，开发者可以通过继承OrderItem类并重写setColumn方法来实现自定义处理逻辑。重写时需要注意保持与框架其他部分的兼容性，同时要自行做好输入验证，避免引入新的安全风险。

在实际开发中，建议优先使用标准的字段命名方式。如果必须处理带特殊字符的字段名，应该建立完善的字段名白名单机制，既满足业务需求又保障系统安全。框架的这种设计体现了安全优先的原则，开发者需要根据实际场景权衡安全性和灵活性。