mybatis中#和$的区别，使用#避免SQL注入_mybatis防注入什么情况下#不能替代$-优快云博客

本文链接：https://blog.youkuaiyun.com/wjw_de_java/article/details/120648834

本文详细解释了如何在MyBatis中使用预处理语句防止SQL注入，通过#{id}

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

<select id="selectPerson" parameterType="int" resultType="hashmap">
  SELECT * FROM PERSON WHERE ID = #{id}
</select>

参数符号：

#{id}

这就告诉 MyBatis 创建一个预处理语句参数，通过 JDBC，这样的一个参数在 SQL 中会由一个 “?” 来标识，并被传递到一个新的预处理语句中，就像这样：

// Similar JDBC code, NOT MyBatis…
    String selectPerson = "SELECT * FROM PERSON WHERE ID=?";
    PreparedStatement ps = conn.prepareStatement(selectPerson);
    ps.setInt(1,id);

$:
默认情况下,使用#{}格式的语法会导致 MyBatis 创建预处理语句属性并安全地设置值（比如?）。这样做更安全，更迅速，通常也是首选做法，不过有时你只是想直接在 SQL 语句中插入一个不改变的字符串。比如，像 ORDER BY，你可以这样来使用：

ORDER BY ${columnName}

这里 MyBatis 不会修改或转义字符串，实质上是字符串拼接。

NOTE(注意) 以这种方式接受从用户输出的内容并提供给语句中不变的字符串是不安全的，会导致潜在的 SQL 注入攻击，因此要么不允许用户输入这些字段，要么自行转义并检验。

sql注入问题:
SQL注入就是将原本的SQL语句的逻辑结构改变，使得SQL语句的执行结果和原本开发者的意图不一样.
比如：使用Statement语句执行者，执行sql，会造成sql注入的问题，

String sql = “select * from tb_name where name= '”+varname+"’ and passwd=’"+varpasswd+"’";

如果我们把[’ or ‘1’ = '1]作为varpasswd传入进来，执行查询的时候 sql会变成，

String sql = "select * from tb_name where name= ‘’ and passwd = ‘’ or ‘1’ = ‘1’,1=1是永远成立的，所以，前面的条件已经不起作用，

我们使用预编译语句执行者就可以避免这个问题，prepareStatement将sql预编译，传参数的时候，不会改变sql语句结构，就可以避免注入。