Mybatis中#{}和${}的区别

1、生成执行sql以及sql安全方面:

(1)使用#{}格式的语法,在mybatis中会使用Preparement语句来安全地设置值,跟踪断点会看到即将执行的sql中用“?”做占位符,执行sql类似于

 

PreparedStatement ps = conn.prepareStatement(sql);
ps.setInt(1,id);

 

同时,#{}写法会将传入的数据都当成一个字符串,会对传入的数据加一个双引号,因此可以在很大程度上防止sql注入,

如:select * from user where user_id =  #{userId},如果传入的值是111,那么解析成的sql时为... where user_id =  "111";

(2)使用${}时,mybatis不会将传入的数据当成一个字符串,执行sql类似于

 

 Statement st = conn.createStatement();
ResultSet rs = st.executeQuery(sql);

 

 这种写法会将传入的数据会直接显示在执行的sql中。

如:select * from user where user_id =  #{userId},如果传入的值是100,那么解析成的sql为... where user_id =  100;

可能会发生sql注入,例如传入的参数是单引号',将会执行... where user_id =  ‘ 这样的语句,会报sql语法错误。

2、传入一个不改变的字符串或者传入数据库字段(列名),例如要传入order by 后边的参数

这种情况下必须使用${}。

综上,#{}方式一般用于传入字段值,并将该值作为字符串加到执行sql中,一定程度防止sql注入;

${}方式一般用于传入数据库对象,例如传入表名,不能防止sql注入,存在风险。

3、模糊查询中,如果使用如下方式:select * from reason_detail where reason_en like '%${reason}%',此处只能使用$,使用#的话,反而会被解析为列,报错java.sql.SQLException: Column 'reason' not found

### MyBatis 中 `#` `$` 符号的区别 #### 占位符功能差异 在 MyBatis 中,`#{}` `${}` 都可以作为占位符来插入参数到 SQL 语句中。然而两者的工作机制存在显著不同。 当使用 `#{}` 形式的占位符时,MyBatis 将其视为预处理语句 (PreparedStatement) 的参数绑定方式[^1]。这意味着实际的 SQL 发送到数据库之前会先由 JDBC 进行一次转义处理,从而有效防止 SQL 注入攻击的发生。 而采用 `${}` 方式,则是直接替换模板中的变量名为其对应的值字符串,并不做任何额外的安全检查或转换操作[^2]。因此,在某些特殊情况下可能会引入潜在风险。 #### 使用场景对比 由于上述特性上的差别,这两种语法适用于不同的编程环境: - 对于大多数常规查询条件构建而言,推荐优先选用 `#{}` 结构以增强应用程序的整体安全性; - 当遇到一些无法通过标准 API 实现的需求——比如表名、列名动态指定等情况时,则可能不得不借助 `${}` 完成相应逻辑编码工作;不过此时应当格外谨慎对待输入验证环节[^3]。 #### 示例代码展示 下面给出一段简单的例子说明如何分别运用这两种表达形式编写 Mapper XML 文件内的 SELECT 语句: ```xml <!-- 正确做法 --> <select id="findUserById" parameterType="int" resultType="com.example.User"> SELECT * FROM users WHERE user_id = #{userId} </select> <!-- 错误示范:容易遭受注入威胁 --> <select id="findByTableName" parameterType="string" resultType="map"> SELECT * FROM ${tableName} <!-- 不建议这样写 --> </select> ```
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值