mybatis中${}、 #{}区别及应用场景

逃离我推掉我的手 2021-12-04 01:57 278阅读 0赞

**动态sql**是mybatis的主要特性之一。在mapper中定义的参数传到xml中之后，在查询之前mybatis会对其进行**动态解析**。

mybatis提供了两种支持动态sql的语法：**\#\{\}** 、**$\{\}**。

select * from t_user where username = #{username};
    
    select * from t_user where username = '${username}';
    select * from ${tablename}

username传参一致的话,这两种执行的结果是一样的，但是这两种方式在动态sql解析阶段的处理是不一样的。

### **1、\#\{\}** ###

在动态SQL解析阶段，**\#\{\}被**解析为一个JDBC预编译语句（prepared statement）的参数标记符，把参数部分用占位符？代替。动态解析为：

select * from t_user where username = ？ ;

而传入的参数将会经过**PreparedStatement方法的强制类型检查和安全检查等处理**，最后**作为一个合法的字符串**传入。（后面替换占位符的会是一个字符串）

### **2、$\{\}** ###

在动态SQL解析阶段，**$\{\}**只会做简单的字符串替换，在动态SQL解析阶段将会进行变量替换，假如传递的参数为Alice，最终处理结果如下：

select * from t_user where username = 'Alice' ;

这样在预编译之前的sql语句已经不包含变量了，因此可以看出**$\{\} 变量的替换阶段 是在动态SQL解析阶段**。

### **3、\#\{\} \#\{\}两种方式对比** ###

*1）是否预防SQL注入*

以上不同的处理方式可以看出，\#\{\}预处理之后可以预防SQL注入；

而$\{\}在预编译之前就已经被替换，有被注入的风险，如下例：

如果传入的username 为 **a' or '1=1**，那么使用$\{\}处理后直接替换字符串的sql就解析为：

select * from t_user where username = 'a' or '1=1' ;  
    
    //注意'1=1'永远为真。上面的SQL就变为了下面的
    select * from t_user
    //查出了很多本不应该，或者说没有权限查出来的数据

这样的话所有的用户数据就被查出来了，这样就属于**SQL注入**。

如果使用\#\{\}，经过sql动态解析和预编译，会把**单引号' 转义为 \\'**那么sql最终解析为：

select * from t_user where username = "a\' or \'1=1 "; //这样会查不出任何数据，有效阻止sql注入

有的业务场景经常用到**模糊查询**，也就是**like**处理，推荐使用以下处理方式：

t_user.username like #username#

java代码里：

if (!StringUtil.isEmpty(this.username)) {
    
    table.setUsername("%" + this.username + "%");
    
    }

或者也可以使用数据库函数进行连接处理：

select \* from t\_user u where username like CONCAT('%', \#username\#, '%')

**注意：以上就可以发现在某些特定场景下只能用$\{\}，比如order by 后的排序字段，表名、列名。因为需要替换为不变的常量。如果表名中使用\#\{\}的话，会变成如下：**

select \* from \#\{ tablename\} \--> tablename传参为t\_user \---> 处理后变成 select \* from **'t\_user'**，但是没有**'t\_user'**这样的表名，这时这句SQL就会报错了，order by 同理。

*2）性能考虑*

因为预编译语句对象可以重复利用，把一个sql预编译后产生的PreparedStatement对象缓存下来，下次对于同一个sql，可以直接使用缓存的PreparedStatement对象。**mybatis默认情况下，对所有的sql 进行 预编译**，这样的话\#\{\}的处理方式性能会相对高些。

**总结：**

**能使用\#\{\}的时候，尽量使用\#\{\}**

**表名、order by的排序字段作为变量时，使用$\{\}。**

作者：滚滚大肥猫  
链接：https://www.jianshu.com/p/bbeff97d41eb  
来源：简书  
简书著作权归作者所有，任何形式的转载都请联系作者获得授权并注明出处。

mybatis中${}、 #{}区别及应用场景

发表评论取消回复

还没有评论，来说两句吧...

相关阅读

相关 Java集合框架中ArrayList与LinkedList的区别及应用场景

相关 Oracle JDK与OpenJDK的区别及应用场景

相关【SpringMVC+mybatis】4.mybatis和hibernate的本质区别和应用场景

相关 mybatis和hibernate本质区别和应用场景

相关 TCP 与 UDP 的区别及应用场景

相关 session,cookie,sessionStorage,localStorage的区别及应用场景

相关 mybatis 中 #{} 和 ${} 的区别及应用场景

相关 mybatis深入浅出之resultMap的用法及应用场景

相关在mybatis中#{}和${}的区别，使用场景及sql注入

相关 mybatis中${}、 #{}区别及应用场景