mybatis中的 和 的區別

mybatis啟用了預編譯功能，

#{}：在預編譯過程中，會把#{}部分用乙個佔位符?代替，執行時，將入參替換編譯好的sql中的佔位符「?」，能夠很大程度防止sql注入

${}：在預編譯過程中，${}會直接參與sql編譯，直接顯示資料，無法防止sql注入，一般用於傳入表名或order by動態引數

在下面的語句中，如果 username 的值為 zhangsan，則兩種方式無任何區別：

select * from user where name = #;

select * from user where name = $;

select * from user where name = 'zhangsan';

select * from user where name = ?;

select * from user where name = 'zhangsan';

那麼，在使用過程中我們應該使用哪種方式呢？答案是，優先使用 #{}。因為 ${} 會導致 sql 注入的問題。

sql 注入

看下面的例子：

select * from $ where name = #

則動態解析之後 sql 如下：

select * from user; delete user; -- where name = ?;

但是表名用引數傳遞進來的時候，只能使用 ${} ，具體原因可以自己做個猜測，去驗證。這也提醒我們在這種用法中要小心sql注入的問題。

那什麼情況下必須使用${}?

1.需要動態拼接表名時。

select * from $

2.動態拼接排序字段。

select * from table那麼 order by $ desc

mybatis中的 和 的區別

1.將傳入的資料都當成乙個字串，會對自動傳入的資料加乙個雙引號。如 order by user id 如果傳入的值是111,那麼解析成sql時的值為order by 111 如果傳入的值是id，則解析成的sql為order by id 2.將傳入的資料直接顯示生成在sql中。如 order by u...

mybatis中的 和 的區別

相當於對資料 加上 雙引號，相當於直接顯示資料 1.將傳入的資料都當成乙個字串，會對自動傳入的資料加乙個雙引號。如 order by user id 如果傳入的值是111,那麼解析成sql時的值為order by 111 如果傳入的值是id，則解析成的sql為order by id 2.將傳入的資料...

mybatis中的 和 的區別

1.將傳入的資料都當成乙個字串，會對自動傳入的資料加乙個雙引號。如 order by user id 如果傳入的值是111,那麼解析成sql時的值為order by 111 如果傳入的值是id，則解析成的sql為order by id 2.將傳入的資料直接顯示生成在sql中。如 order by u...