mybatis中#{}和${}的区别

最新推荐文章于 2025-01-11 13:36:08 发布

原创最新推荐文章于 2025-01-11 13:36:08 发布 · 857 阅读

5 ·

CC 4.0 BY-SA版权

mybatis框架专栏收录该内容

1 篇文章

订阅专栏

对于#{}和${}的区别，需要了解什么是预编译，下面是关于sql预编译的概念

一、sql预编译

1.定义：

sql 预编译指的是数据库驱动在发送 sql 语句和参数给 DBMS 之前对 sql 语句进行编译，这样 DBMS 执行 sql 时，就不需要重新编译。

2. 预编译的有点：

　　(1)效率性：预编译可以尽可能的提高访问数据库的性能，我们都知道数据库在处理SQL语句时都有一个预编译的过程，而预编译对象就是把一些格式固定的SQL编译后，存放在内存池中即数据库缓冲池，当我们再次执行相同的SQL语句时就不需要预编译的过程了，只需DBMS运行SQL语句。所以当你需要执行拼接语句多次的时候，预编译语句将会大大降低运行时间，特别是的大型的数据库中，它可以有效的也加快了访问数据库的速度。

(2)预编译语句提高了代码的可读性和安全性。

二、区别：

Mybatis 的Mapper.xml语句中parameterType向SQL语句传参有两种方式：#{}和${}

1.#{}：

#{}这种方式SQL语句是经过预编译的，可以防止SQL注入，安全性高，它是把#{}中间的参数转义成字符串，如：

INSERT INTO student(ID,account,password,truename) 
	  VALUES(#{id},#{account},#{password},#{truename})

预编译后，会动态的解释成一个参数标记符"?"，整个代码变成如下代码：

INSERT INTO student(ID,account,password,truename) 
	  VALUES(?,?,?,?)

2.${}:

${}相当于拼接符，不安全，不可以防止注入，使用${}在动态解释的时候,会传递参数字符串，如以下代码

INSERT INTO student(ID,account,password,truename) 
	  VALUES(${id},'${account}','${password}','${truename}'

如果id为123，account为zhangsan，password为123456，truename为张三，那么它相当于

INSERT INTO student(ID,account,password,truename) 
	  VALUES(123,'zhangsan','123456','张三'

综上所述，${ } 变量的替换阶段是在动态 SQL 解析阶段，而 #{ }变量的替换是在 DBMS 中。

这是 #{} 和 ${} 我们能看到的主要的区别，除此之外，还有以下区别：

#方式能够很大程度防止sql注入。
$方式无法防止Sql注入。
$方式一般用于传入数据库对象，例如传入表名.
一般能用#的就别用$.