#{}与${}的区别（经典讲解）

最新推荐文章于 2025-03-22 16:06:09 发布

zfx2013

最新推荐文章于 2025-03-22 16:06:09 发布

阅读量294

点赞数

分类专栏：程序员文章标签： mysql

本文链接：https://blog.youkuaiyun.com/zfx2013/article/details/89816292

版权

程序员专栏收录该内容

24 篇文章

订阅专栏

博客主要介绍MyBatis中#{}与${}的区别及使用。#{}解析时加引号，能防SQL注入；${}直接显示在SQL中，无法防注入。使用上，$多用于传入数据库对象，#用于传变量值，排序时order by动态参数用${}。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

#{}与${}的区别是实战中经常遇到的问题，当然也是面试常考的问题

#{}

1、#{}用来传入参数，sql在解析的时候会加上" ",当成字符串来解析，如这里 role_id = “roleid”;
2、#{}能够很大程度上防止sql注入，mybatis在处理#{}时，会将sql中的#{}替换为?号，调用PreparedStatement的set方法来赋值，提高系统的安全性。

${}

1、用${}传入数据直接显示在生成的sql中，如上面的语句，用role_id = ${roleId,jdbcType=INTEGER},那么sql在解析的时候值为role_id = roleid，执行时会报错; 2、$ {}方式无法防止sql注入;

两者使用上的区别

1、$一般用入传入数据库对象（属性），比如数据库表名;
2、#一般用来传输属性对应的变量值
3、能用#{}时尽量用#{};

使用举例

1、

<select id="findUserByTableName" resultType="User">
 <!--SELECT * from #{tableName1}   运行会报错，编译后sql语句中含有引号，sql语句错误--> 
    SELECT * from ${tableName1}
</select>

2、mybaties排序时使用order by 动态参数时需要注意，使用${}而不用#{}，原因如下

#将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：order by #user_id#，如果传入的值是111,那么解析成sql时的值为order by “111”, 如果传入的值是id，则解析成的sql为order by “id”.
$将传入的数据直接显示生成在sql中。如：order by $user_id$ ，如果传入的值是111,那么解析成sql时的值为order by user_id, 如果传入的值是id，则解析成的sql为order by id.