MyBatis中${} 和 #{} 有什么区别小结
作者:蜀州凯哥 时间:2021-09-21 14:42:35
${} 和 #{} 都是 MyBatis 中用来替换参数的,它们都可以将用户传递过来的参数,替换到 MyBatis 最终生成的 SQL 中,但它们区别却是很大的,接下来我们一起来看。
1.功能不同
${} 是将参数直接替换到 SQL 中,比如以下代码:
最终生成的执行 SQL 如下:
从上图可以看出,之前的参数 ${id} 被直接替换成具体的参数值 1 了。 而 #{} 则是使用占位符的方式,用预处理的方式来执行业务,我们将上面的案例改造为 #{} 的形式,实现代码如下:
最终生成的 SQL 如下:
${} 的问题
当参数为数值类型时(在不考虑安全问题的前提下),${} 和 #{} 的执行效果都是一样的,然而当参数的类型为字符时,再使用 ${} 就有问题了,如下代码所示:
以上程序执行时,生成的 SQL 语句如下:
这样就会导致程序报错,因为传递的参数是字符类型的,而在 SQL 的语法中,如果是字符类型需要给值添加单引号,否则就会报错,而 ${} 是直接替换,不会自动添加单引号,所以执行就报错了。 而使用 #{} 采用的是占位符预执行的,所以不存在任何问题,它的实现代码如下:
以上程序最终生成的执行 SQL 如下:
2.使用场景不同
虽然使用 #{} 的方式可以处理任意类型的参数,然而当传递的参数是一个 SQL 命令或 SQL 关键字时 #{} 就会出问题了。比如,当我们要根据价格从高到低(倒序)、或从低到高(正序)查询时,如下图所示:
此时我们要传递的排序的关键字,desc 倒序(价格从高到低)或者是 asc 正序(价格从低到高),此时我们使用 ${} 的实现代码瑞安:
以上代码生成的执行 SQL 和运行结果如下:
但是,如果将代码中的 ${} 改为 #{},那么程序执行就会报错,#{} 的实现代码如下:
以上代码生成的执行 SQL 和运行结果如下:
从上述的执行结果我们可以看出:当传递的是普通参数时,需要使用 #{} 的方式,而当传递的是 SQL 命令或 SQL 关键字时,需要使用 ${} 来对 SQL 中的参数进行直接替换并执行。
3.安全性不同
${} 和 #{} 最主要的区别体现在安全方面,当使用 ${} 会出现安全问题,也就是 SQL 注入的问题,而使用 #{} 因为是预处理的,所以不会存在安全问题,我们通过下面的登录功能来观察一下二者的区别。
3.1 使用 ${} 实现用户登录
UserMapper.xml 中的实现代码如下:
单元测试代码如下:
以上代码生成的执行 SQL 和运行结果如下:
从结果可以看出,当我们传入了正确的用户名和密码时,能成功的查询到数据。但是,在我们使用 ${} 时,当我们在不知道正确密码的情况下,使用 SQL 注入语句也能用户的私人信息,SQL 注入的实现代码如下:
以上代码生成的执行 SQL 和运行结果如下:
从上述结果可以看出,当使用 ${} 时,在不知道正确密码的情况下也能得到用户的私人数据,这就像一个小偷在没有你们家钥匙的情况下,也能轻松的打开你们家大门一样,这是何其恐怖的事情。那使用 #{} 有没有安全问题呢?接下来我们来测试一下。
3.2 使用 #{} 实现用户登录
首先将 UserMapper.xml 中的代码改成以下内容:
接着我们使用上面的 SQL 注入来测试登录功能:
最终生成的 SQL 和执行结果如下:
从上述代码可以看出,使用 SQL 注入是无法攻破 #{} 的“大门”的,所以可以放心使用。
来源:https://blog.csdn.net/m0_72088858/article/details/126845128
![](/images/zang.png)
![](/images/jiucuo.png)
猜你喜欢
详解Java实现数据结构之并查集
![](https://img.aspxhome.com/file/2023/6/67976_0s.jpg)
基于java集合中的一些易混淆的知识点(详解)
Spring cloud config 配置文件加密方式
Spring Boot 应用的热部署配置方法
![](https://img.aspxhome.com/file/2023/7/67097_0s.jpg)
如何安装java的运行环境IDEA
![](https://img.aspxhome.com/file/2023/0/64380_0s.png)
Java泛型类与泛型方法的定义详解
Unity3D自定义创建圆锥体
![](https://img.aspxhome.com/file/2023/4/88354_0s.png)
Android上传文件到服务端并显示进度条
![](https://img.aspxhome.com/file/2023/3/72623_0s.jpg)
springboot集成nacos读取nacos配置数据的原理
Android实现悬浮窗效果
Springboot整合knife4j与shiro的操作
![](https://img.aspxhome.com/file/2023/0/76280_0s.png)
使用SpringBoot打jar包并部署到Tomcat详细步骤
![](https://img.aspxhome.com/file/2023/2/73132_0s.png)
C#装箱和拆箱的原理介绍
![](https://img.aspxhome.com/file/2023/1/88311_0s.jpg)
springboot2.2 集成 activity6实现请假流程(示例详解)
![](https://img.aspxhome.com/file/2023/3/63113_0s.png)
android图片处理 让图片变成圆形
![](https://img.aspxhome.com/file/2023/6/83536_0s.jpg)
SpringCloud Alibaba项目实战之nacos-server服务搭建过程
![](https://img.aspxhome.com/file/2023/2/85542_0s.jpg)
Java输入输出流的使用详细介绍
![](https://img.aspxhome.com/file/2023/0/81880_0s.jpg)
Java 实战项目锤炼之医院门诊收费管理系统的实现流程
![](https://img.aspxhome.com/file/2023/0/74990_0s.png)