MyBatis中的#{}与${}的区别

最新推荐文章于 2025-02-11 08:27:14 发布

原创最新推荐文章于 2025-02-11 08:27:14 发布 · 405 阅读

2 ·

CC 4.0 BY-SA版权

文章标签：

#MyBatis ##与$的区别 ##{}与${]的区别

基础知识专栏收录该内容

6 篇文章

订阅专栏

没有检索到摘要

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

MyBatis中的#{}与${}的区别

	MyBatis中的#{}与${}最大的区别就是 使用#{}时，会对传入的值都加一个双引号，而使用${}时，会直接用传入的值替代${}，而不会加双引号
	
	MyBatis中的${}
		例如:
			我要查询test表中enum1列的值为hotel的一条数据,SQL语句是这样写的:
				select * from test t where  t.enum1='${enum1}'
			正常情况下查出的信息为:
				图一
			但是如果对传入的数据进行一些更改，比如说将本应该正常输入的hotel修改为anything' OR 'a'='a则传入后最终SQL语句是这样的:
				select * from test t where  t.enum1='anything' OR 'x'='x'
			现在所查出的信息为:
				图二
			因为我的这个表中只有两条数据，现在着两条数据也就是这个表的所有数据都被查出来了，原因是最初的双引号''和anything' OR 'x'='x组成了'anything' OR 'x'='x',而 OR 后面恒等于1，也就是一直成立，所以对这个表进行了查询所有的操作。这就被称为SQl（恶意）注入操作。
				
	MyBatis中的#{}
		还是上面那个例子
		例如:
			我要查询test表中enum1列的值为hotel的一条数据,SQL语句是这样写的:
				select * from test t where  t.enum1=#{enum1}
			正常情况下如上面图所示
			这次还是对传入的数据进行一些更改，比如说将本应该正常输入的hotel修改为anything' OR 'a'='a则传入后最终SQL语句是这样的:
				select * from test t where  t.enum1='anything\' OR \'x\'=\'x' 
			从上述代码中可以看到所有单引号都被转移了，这都是JDBC中的PrepareStatement的功劳，如果在数据库服务端开启了预编译，则服务端来做这件事。
			
	总结:
		通过${}传入的值将直接显示生成在SQL中，例如${enum1}传入为hotel，而通过#{}传入的值会为传入的值加上双引号，如#{enum1}传入后为'hotel'。
		${}方式一般传入数据库对象、如传入表名、列明，当使用order by 传入动态参数排序时用$而不用#。
		#{}方式能有效防止SQL注入，${}方式不能防止SQl注入。
		一般情况下能够用#{}就不要用${}

参考自:
https://blog.youkuaiyun.com/u013552450/article/details/72528498
https://my.oschina.net/kailuncen/blog/1235568