Mybatis的两种取值方式#{ } 与${ } 使用时需要注意的地方

谁借莪１个温暖的怀抱￠ 2022-04-12 08:25 216阅读 0赞

需要映射的接口：

/**
     * 根据id查询管理员
     * @param id
     * @return
     */
    Manager retrieveManagerById(@Param("id")Integer id);
    /**
     * 根据名字查询管理员
     * @param name
     * @return
     */
    Manager retrieveManagerByName(@Param("name")String name);

当使用 \#\{ \}传递字符串时：

<?xml version="1.0" encoding="UTF-8"?>
    <!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN" "http://mybatis.org/dtd/mybatis-3-mapper.dtd" >
    
    <mapper namespace="com.anyunpei.dao.ManagerDao">
    	<select id="retrieveManagerByName" resultType="Manager">
    		SELECT *
    		FROM manager WHERE name=#{name}
    	</select>
    	<select id="retrieveManagerById" resultType="Manager">
    		SELECT *
    		FROM manager WHERE id=#{id}
    	</select>
    </mapper>

当使用$\{ \}传递字符串时 **需要单引号 '   ' 或者 双引号 "  " 都可以，把查询的字符串包裹起来**

<?xml version="1.0" encoding="UTF-8"?>
    <!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN" "http://mybatis.org/dtd/mybatis-3-mapper.dtd" >
    
    <mapper namespace="com.anyunpei.dao.ManagerDao">
    	<select id="retrieveManagerByName" resultType="Manager">
    		SELECT *
    		FROM manager WHERE name="${name}"
                    
    	</select>
    	<select id="retrieveManagerById" resultType="Manager">
    		SELECT *
    		FROM manager WHERE id=${id}
    	</select>
    </mapper>

原因在于$\{ \}是直接拼接sql语句并执行sql，而\#\{ \}是采用占位符的方式执行sql ，可有效防止sql注入的攻击。

**1.order by 后面的关键词  必须使用** $\{ \}

**2.传递表名时，也应该使用**$\{ \}

**3.其他情况，能使用\#\{ \}不使用 $\{ \}**