bm-site

Appearance

#{}和${}的区别是什么？ ​

在MyBatis中，#{}和${}都是用于参数替换的标记，用于将参数值插入到SQL语句中。然而，它们在处理参数值的方式上有一些重要的区别。

  1. #{}（预编译）:
    • #{}是用于预编译的参数标记。当使用#{}时，MyBatis会将参数值放入一个预编译的PreparedStatement中，并确保参数值被正确地转义和引用，从而防止SQL注入攻击。
    • #{}适用于大多数情况，尤其是当参数值是从用户输入中获得时，因为它提供了更好的安全性和可靠性。

示例：

plsql
SELECT * FROM users WHERE id = #{userId}
  1. ${}（字符串替换）:
    • ${}是用于字符串替换的参数标记。当使用${}时，MyBatis会直接将参数值嵌入到SQL语句中，不会进行预编译或转义。这可能导致潜在的安全问题，如果不正确地处理参数值，可能会导致SQL注入攻击。
    • ${}适用于一些特殊情况，例如在动态表名、列名或函数调用等情况下，但要谨慎使用，确保参数值的安全性。

示例：

plsql
SELECT * FROM ${tableName} WHERE id = ${userId}

总结区别：

  • #{}用于预编译，提供参数安全性，适合大多数情况。
  • ${}用于字符串替换，潜在安全风险较高，仅在特定情况下使用，确保参数值安全。

在实际使用中，推荐优先使用#{}来处理参数，以确保数据库操作的安全性和可靠性。只有在确保参数值不会引发安全问题的情况下，才应该考虑使用${}。

补充：

java
1、#{} 是预编译处理，是占位符。 ${} 是字符串替换，是拼接符。
2、mybatis 在处理 #{} 时，会将SQL中的 #{} 替换为 ? 号，调用 PrepareStatement 来赋值。
3、mybatis 再处理 ${} 时，会将SQL中的 ${} 替换成变量的值，调用 Statement 来赋值。
4、使用 #{} 可以有效防止SQL注入，提高系统安全性。
5、动态调整查询列，排序列使用 ${}

更新: 2024-12-06 16:30:28
原文: https://www.yuque.com/tulingzhouyu/db22bv/tknazmlfcguqf4l3

短视频 ​

mybatis里面#和$号的区别？

这是一位工作了两年的粉丝，在面试的时候被问到的一个mybatis基础问题，但很可惜他当时并没回答出来

其实在 MyBatis 中，# 和 $ 符号的差异是初学者经常被问到的问题。

在面试中被问及这个问题，也是一个很好的机会来展示对 MyBatis 基础的理解。

那对于这个问题，我会从以下几个方面来回答：

首先，MyBatis 提供了两种占位符：# 和 $ 它们都用于动态生成 SQL 语句，但在内部处理和使用方式上存在显著差异。

占位符类似于 JDBC 的预编译语句中的问号占位符（?）。它会将参数安全地设置到预编译的 SQL 语句中，从而有效防止 SQL 注入攻击。这是因为在处理过程中，特殊字符会被正确转义。 ​

而$ 占位符是直接将参数拼接到原始 SQL 语句中。虽然它在某些情况下更灵活，但也更容易受到 SQL 注入攻击的威胁。因为 MyBatis 不会对这些参数进行特殊处理或转义。

所以，在实际应用中，推荐使用 # 占位符来确保 SQL 语句的安全性和可靠性。

而在一些需要动态拼接 SQL 的场景使用$ 占位符更加适合，比如动态表名或排序字段等。

更新: 2024-05-15 16:00:36
原文: https://www.yuque.com/tulingzhouyu/db22bv/gwg8m827et87mcxy