Mybatis中#{}和${}之间的区别，以及什么是SQL注入漏洞

疑问点：

1： 什么是SQL注入漏洞？
2： 两者之间的区别？
3： 两者的使用场景有那些?

什么是SQL注入？

先看两段代码，假如id的值为字符串"100"，大家可以顺便想想每段代码最后拼接出来的SQL长什么样。
字符串直接拼接参数

public static ResultSet executeInject(Connection connection, String id) {
    String sql = "select * from order_info where id = " + id;
    PreparedStatement stmt = connection.prepareStatement(sql);
    return stmt.executeQuery();
}

通过占位符?和setString()方法拼接参数

public static ResultSet executeNormal(Connection connection, String id) {
    String sql = "select * from order_info where id = ?" ;
    PreparedStatement stmt = connection.prepareStatement(sql);
    stmt.setString(1, id);
    return stmt.executeQuery();
}

这两种方式有什么不同吗？
假如id的值是字符串"100"，那么以上两段代码最终拼出来的SQL为：
字符串直接拼接参数的结果：

"select * from order_info where id = 100"

通过占位符?和setString()方法拼接参数的结果：

"select * from order_info where id = '100'"

看上去区别不大，但是对于id=100来说，id是varchar，100是int，对于mysql来说是要做类型转换的，这个过程其实是会导致问题的

那如果现在乱写，给id传的值为"100 or 1=1"，那么拼出来的SQL为：
字符串直接拼接参数的结果：

"select * from order_info where id = 100 or 1=1"

通过占位符?和setString()方法拼接参数的结果：

"select * from order_info where id = '100 or 1=1'"

仔细看看，看出区别没，直接拼接参数的将能查出全部数据，因为or 1=1生效了，而通过?和setString拼接的则不会出现问题，因为它被包裹在’'里了，而这就是SQL注入漏洞。

${}和#{}的区别

那以上两种情况和${}和#{}是什么关系呢？是一对一的关系。

${}对应的就是字符串直接拼接参数，从而会有SQL注入的风险。
#{}对应的就是占位符?和setString()拼接参数，不会有SQL注入的风险。

使用场景总结

那#{}和${}实际工作中到底该如何使用呢？

建议在where条件后尽量使用#{}，用来防止SQL注入。

${}可以用在select之后，用来动态传入待查询字段，比如select ${col} where…，如果col的值为"name"，那么拼出来的sql为select name where…，这是正常的，而如果用#{}拼出来的就是select ‘name’ where…，变成了固定返回"name"这个字符串了，反倒是有问题的。