MySQL 中 # 和 $ 的区别

MyBatis参数

最新推荐文章于 2025-09-05 20:19:28 发布

原创最新推荐文章于 2025-09-05 20:19:28 发布 · 3k 阅读

CC 4.0 BY-SA版权

文章标签：

3 篇文章

订阅专栏

本文介绍了MyBatis中#和$两种参数引用方式的区别。#方式会自动添加双引号并预编译SQL，能有效防止SQL注入；而$方式直接拼接值，不进行预编译，无法避免SQL注入攻击。

# 和 $ 的区别:
1. mybatis中使用ParameterType向sql语句传参，在sql语句中引用这些参数的时候，有两种方式：#parameterName 和 $parameterName。
2. #parameterName 方式引用参数时，Mybatis会把传入的参数当成是一个字符串，自动添加双引号。
3. $parameterName 方式引用参数时，不做任何处理，直接将值拼接在SQL语句中。
4. # 是占位符，$ 是拼接符。
# 可以防止SQL注入：
1. 使用 # 能够防止SQL注入，$ 不能避免注入攻击。
2. # 的方式引用参数，mybatis 会先对SQL语句进行预编译，然后再引用值，能够有效防止SQL注入，提高安全性。
3. $ 的方式应用参数，SQL语句不进行预编译。