mybatis中「 」與「 」的區別

2021-08-22 10:18:16 字數 975 閱讀 9463

在下面的語句中，如果 username 的值為 lisa，則兩種方式無任何區別：

select * from user where user_name=#


select * from user where user_name=$
其解析之後的結果均為：

select * from user where user_name = 'lisa'
但是 #{} 和 ${} 在預編譯中的處理是不一樣的。#{} 在預處理時，會把引數部分用乙個佔位符 ? 代替，變成如下的 sql 語句：

select * from user where user_name = ? ;
而 ${} 則只是簡單的字串替換，在動態解析階段，該 sql 語句會被解析成

select * from user where user_name='lisa' ;
以上，#{} 的引數替換是發生在 dbms 中，而 ${} 則發生在動態解析過程中。

那麼，在使用過程中我們應該使用哪種方式呢？

答案是，優先使用 #{}。因為 ${} 會導致 sql 注入的問題。

看下面的例子：

select * from $ where name=#
在這個例子中，如果表名為

user; delete user; --

則動態解析之後 sql 如下：

select * from user; delete user; -- where name = ?;
--之後的語句被注釋掉，而原本查詢使用者的語句變成了查詢所有使用者資訊+刪除使用者表的語句，會對資料庫造成重大損傷，極大可能導致伺服器宕機。

但是表名用引數傳遞進來的時候，只能使用 ${} ，具體原因可以自己做個猜測，去驗證。這也提醒我們在這種用法中要小心sql注入的問題。

mybatis 中 與 的區別

mybatis ibatis中 和 的區別 1.將傳入的資料都當成乙個字串，會對自動傳入的資料加乙個雙引號。如 order by user id 如果傳入的值是111,那麼解析成sql時的值為order by 111 如果傳入的值是id，則解析成的sql為order by id 2.將傳入的資料直接...

mybatis 中 與 的區別

mybatis將 解釋為jdbc prepared statement 的乙個 引數標記 而將 解釋為 字串替換 1.將傳入的資料都當成乙個字串，會對自動傳入的資料加乙個雙引號。如 order by user id 如果傳入的值是111,那麼解析成sql時的值為order by 111 如果傳入的值...

mybatis 中 與 的區別

mybatis ibatis中 和 的區別 1.將傳入的資料都當成乙個字串，會對自動傳入的資料加乙個雙引號。如 order by user id 如果傳入的值是111,那麼解析成sql時的值為order by 111 如果傳入的值是id，則解析成的sql為order by id 2.將傳入的資料直接...