mybatis的#{}和${}的区别以及order by注入问题

最新推荐文章于 2024-10-23 17:13:11 发布

angyuhh07719

最新推荐文章于 2024-10-23 17:13:11 发布

阅读量330

点赞数

CC 4.0 BY-SA版权

文章标签： java 前端 ViewUI

原文链接：http://www.cnblogs.com/xieshuang/p/11017121.html

本文解析了在使用MyBatis进行数据库操作时，前端传来的排序字段和方式未生效的问题。通过对比#{}

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、问题

根据前端传过来的表格排序字段和排序方式，后端使用的mybaits

select XXXX from table order by #{column} #{desc}

如上面的形式发现排序没有生效，查看打印的日志发现实际执行的sql为,排序没有生效

select XXXXX from table order by "column" "desc"

二、原因分析

主要还是对mybatis传参形式不了解，官方介绍如下:

By default, using the #{} syntax will cause MyBatis to generate PreparedStatement properties and set the values safely against the PreparedStatement parameters (e.g. ?). While this is safer, faster and almost always preferred, sometimes you just want to directly inject an unmodified string into the SQL Statement. For example, for ORDER BY, you might use something like this:
@Select("select * from user where ${column} = #{value}")
User findByColumn(@Param("column") String column, @Param("value") String value);

从官方文档中可以看出#{}相当于jdbc中的preparedstatement，进行了预编译，而${}直接是字符串本身，是有意设计成这样，方便拼接成动态sql，但是这样也带来缺点，可能存在注入问题。

参考阅读：http://www.mybatis.org/mybatis-3/sqlmap-xml.html#Parameters

转载于:https://www.cnblogs.com/xieshuang/p/11017121.html