在Mybatis中 #{ }与${ } 的区别

最新推荐文章于 2024-02-06 18:40:13 发布

原创最新推荐文章于 2024-02-06 18:40:13 发布 · 434 阅读

0 ·

CC 4.0 BY-SA版权

java 专栏收录该内容

16 篇文章

订阅专栏

本文详细介绍了MyBatis框架中动态SQL的两种不同实现方式：#{}

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

例子：

1 select * from user where name = "sun"; 

2 select * from user where name = #{name}; 

3 select * from user where name = ${name};

未经研究，不会发现这里面有什么不一样的地方。因为这些sql都可以达到目的，查询名字是sun的用户。

比较：

动态 SQL 是 mybatis 的强大特性之一，也是它优于其他 ORM 框架的一个重要原因。mybatis 在对 sql 语句进行预编译之前，会对 sql 进行动态解析，解析为一个 BoundSql 对象，也是在此处对动态 SQL 进行处理的。在动态 SQL 解析阶段， #{ } 和 ${ } 会有不同的表现

select * from user where name = #{name};

#{} 在动态解析的时候，会解析成一个参数标记符。解析之后是：

select * from user where name = ？;

使用 ${}的时候

select * from user where name = ${name};

${}在动态解析的时候，会将我们传入的参数当做String字符串填充到我们的语句中，就会变成下面的语句：

select * from user where name = "sun";

预编译之前的 SQL 语句已经不包含变量了，完全已经是常量数据了。相当于我们普通没有变量的sql了。

总结区别：

#{}方式能够很大程度防止sql注入。
${}方式无法防止Sql注入。
${}方式一般用于传入数据库对象，例如传入表名.

在使用mybatis的时候，尽量使用#{}方式！