本文详细介绍了MyBatis中#与$符号在SQL参数传递中的不同作用及应用场景。#号可以有效防止SQL注入攻击，并自动为参数添加引号；而$方式通常用于传入数据库对象如表名等，但在安全性方面不如#号。
1.#号 解析时 会自动加引号 $不会
例：id = #{id} 传入id= 5 sql 解析成 id = '5' 如是${id} 则是id =5
2.#号能很大程度防止sql注入 $不会
例：登录时 执行sql -select * from user where username = #{username} and password = #{pwd}
如上sql 将# 换成$ pwd传值"' 1 ' or 1= 1"则 select * from user where username = abc and password = ' 1' or 1= 1
因or 1=1 永远成立则前面不管传何值都可成功
3. $方式一般用于传入数据库对象 如表名
4.原则上能用#号 就别用$
扫一扫
896
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
