常见问题 Mybatis获取参数值的两种方式 #{} ${}的区别

${}的本质是字符串拼接，#{}的本质是占位符赋值

${}使用字符串拼接的方式拼接sql,若为字符串类型或日期类型的字段进行赋值时，需要手动加单引号；

#{}使用占位符赋值的方式拼接sql,此时为字符串类型或日期类型的字段赋值时，可以自动添加单引号；

#{}是占位符：动态解析 -> 预编译 -> 执行

${}是拼接符：动态解析 -> 编译 -> 执行

预编译：数据库驱动在发送sql和参数到DBMS之前，先对sql语句进行编译处理，之后DBMS则可以直接对sql进行处理，不需要再次编译，提高了性能。这一点mybatis 默认情况下，将对所有的 sql 进行预编译处理。

${}导致sql注入问题

使用${}做字符串拼接的方式并不安全，可能存在sql注入问题

比如我们要做如下查询

select * from user where username = ${value};

但是如果我们的传参是： "张三 or username = 李四"

这种通过传参就能改变SQL语句原本规则的操作就是SQL注入，这个在实际生产中当然是危险的，攻击者可以把SQL命令插入到Web表单的输入域或页面请求的查询字符串中，欺骗服务器执行恶意的SQL命令。

以上的情况就属于sql注入攻击

为什么#{}可以预防sql注入

mybatis的#{}之所以能够预防sql注入是因为底层使用了PrepardStatment类的setString()方法来设置参数， 此方法会获取参数传递过来的每个字符，然后进行循环对比，如果发现有敏感字符(如：单引号、双引号等)， 则会在上边加一个‘/’代表转义此符号，让其变成一个普通的字符串，不参与SQL语句的生成，达到预防sql注入的效果

如何选择使用 #{} 和 ${}

1.能用 #{} 的地方就用 #{}，尽量少用 ${}

2.表名作参数，或者order by 排序时用 ${}

3.传参时参数使用@Param("")注解，@Param注解的作用是给参数命名，参数命名后就能根据名字得到参数值（相当于又加了一层密）， 正确的将参数传入sql语句中（一般通过#{}的方式，${}会有sql注入的问题）