但行好事
莫论前程❤

MyBatis中$和#的区别

​ 动态 SQL 是 mybatis 的强大特性之一,也是它优于其他 ORM 框架的一个重要原因。mybatis 在对 sql 语句进行预编译之前,会对 sql 进行动态解析,解析为一个 BoundSql 对象,也是在此处对动态 SQL 进行处理的。在动态 SQL 解析阶段, #{ } 和 ${ } 会有不同的表现

  • 1.都可以获取对象中的属性值,$[name] 和#[name]相同
  • 2.#可以防止sql注入.先把sql中使用#的地方变成?占位 再设置参数值,
 SELECT * FROM user WHERE name = #{name} AND password  = #{password}

#{} 在动态解析的时候, 会解析成一个参数标记符。解析之后的语句是:

 SELECT * FROM user WHERE name = ?  AND password  = ?

当使用${}的时候

select * from user where name = ${name}; 

${}在动态解析的时候,会将我们传入的参数当做String字符串填充到我们的语句中,就会变成下面的语句

select * from user where name = "xxx";

预编译之前的 SQL 语句已经不包含变量了,完全已经是常量数据了。相当于我们普通没有变量的sql了。

$会导致sql注入,可以拼接sql

SELECT * FROM user WHERE name = ${name} AND password  = ${password}

假如 name = OR 1 = 1 OR;

最终上面的sql会变成

SELECT * FROM user WHERE name = OR 1 = 1 OR  AND password  = ${password}
  • 3.#会把传入的参数使用引号包起来

参数值?: ‘name’

SELECT * FROM user WHERE name = ? AND password  = ?;

总结:

一般的使用#获取数据即可,在分组和排列操作值使用,如果连接一个参数值使用,拼接一段sql使用$.

# 方式能够很大程度防止sql注入。

$方式无法防止Sql注入。
$方式一般用于传入数据库对象,例如传入表名.
‘$’方式可用于模糊查询
一般能用#的就别用$.
在使用mybatis的时候,尽量的使用#方式

赞(2) 打赏
未经允许不得转载:刘鹏博客 » MyBatis中$和#的区别
分享到: 更多 (0)

评论 抢沙发

评论前必须登录!

 

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏