mybatis映射文件#与$的使用，及参数传入规则

最新推荐文章于 2024-01-18 10:45:38 发布

weixin_30699955

最新推荐文章于 2024-01-18 10:45:38 发布

阅读量169

点赞数

CC 4.0 BY-SA版权

文章标签： java

原文链接：http://www.cnblogs.com/lazyli/p/10777865.html

本文详细解析了MyBatis中#与$符号的使用场景与区别，通过具体的SQL语句示例，说明了两者在参数注入方式上的不同，以及在实际开发中如何避免SQL注入风险。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

mybaits映射文件中使用#与$场景：

<select id="getProviders" resultType="com.lazy.bill.pojo.Provider">
    SELECT * FROM provider WHERE 1=1 
    <if test="providerName != null and providerName != ''"> 
    <!-- 条件中不能使用#{providerName},要使用${providerName} -->
    AND providerName like '%${providerName}%'
    </if>    
</select>

$与#的区别：$是直接将值注入到sql语句中，'%${providerName}%'(传入的参数为lisi)，那么这里的语句是:SELECT * FROM provider WHERE 1=1 and providerName like '%lisi%'。#是以字符串的形式注入的，如果这里使用'%#{providerName}%',运行时会出现异常，"'%lisi%'"：sql语句：SELECT * FROM provider WHERE 1=1 and providerName like "'%lisi%'",多了一个字符串。这里主要是已经在用了' '，所以里面就应该直接将值注入就好。没有这种情况，其他的都可用#。

接口Mpper与映射文件中的对应：

public interface ProviderMapper{
        public List<Provider> getProviders(Provider provider); 
}

映射文件中的id是接口的方法名，resultType是接口的返回类型。方法的传入的参数是一个对象，映射文件中的动态获取参数的占位符参数名一定要与对象中的属性一致。传入对象的provider.providerName="lisi";产生的sql语句：SELECT * FROM provider WHERE 1=1 and providerName like '%lisi%'。

转载于:https://www.cnblogs.com/lazyli/p/10777865.html