1.做过html就知道，其实就是xml的特殊符号，需要做个转义
< <
> >
< <
> >
& &
' '
" "
2.建议使用<![CDATA[ ]]>符号进行统一说明，将此符号内的任何文本不进行解析
<![CDATA[ 这里写你的sql ]]>
3. 处理Like可以用下面的这两种方法
LIKE #param#||'%' 采用参数传递，或者'$param$%' 采用字符串替换，就是替换参数的值替换param。
其实同理可以处理其它类似的问题。