Mybatis 中$和#的原理以及坑

小鱼儿 2022-04-25 06:50 107阅读 0赞

案发SQL：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zODI5NDk5OQ_size_16_color_FFFFFF_t_70]

从图上可以看出 wwlr.LabelId in(KaTeX parse error: Expected 'EOF', got '\#' at position 33: …wlr.LabelId in(\#̲\{showLabels\})，其…处理的方式是不一样的。

#### 区别 ####

1、\#\{ \}是预编译处理，MyBatis在处理\#\{ \}时，它会将sql中的\#\{ \}替换为？，然后调用PreparedStatement的set方法来赋值，传入字符串后，会在值两边加上单引号，如上面的值 “4,44,514”就会变成“ ‘4,44,514’ ”；

2、$ \{ \}是字符串替换， MyBatis在处理$ \{ \}时,它会将sql中的$\{ \}替换为变量的值，传入的数据不会加两边加上单引号。

注意：使用$\{ \}会导致sql注入，不利于系统的安全性！

SQL注入：就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。常见的有匿名登录（在登录框输入恶意的字符串）、借助异常获取数据库信息等

应用场合：

1、\#\{ \}：主要用户获取DAO中的参数数据,在映射文件的SQL语句中出现\#\{\}表达式,底层会创建预编译的SQL；

2、$ \{ \}:主要用于获取配置文件数据,DAO接口中的参数信息,当$ 出现在映射文件的SQL语句中时创建的不是预编译的SQL,而是字符串的拼接,有可能会导致SQL注入问题.所以一般使用$接收dao参数时,这些参数一般是字段名,表名等,例如order by \{column\}。

注：

$\{\}获取DAO参数数据时,参数必须使用@param注解进行修饰或者使用下标或者参数\#\{param1\}形式；

\#\{\}获取DAO参数数据时,假如参数个数多于一个可有选择的使用@param。

#### 问题分析 ####

其实刚开始我也没太去看sql里的\#和$，我把sql放到数据库跑一切正常，所以我就将代码的执行sqk输出到控制台了，具体是这么一个输出sql的配置文件：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zODI5NDk5OQ_size_16_color_FFFFFF_t_70 1]

#### 解决办法 ####

1.快速解决

最快的方法就是把\#直接替换成$，这样问题应该就可以解决了。

但是，我很无语，我确没有解决。

本地跑代码一点问题都没有，部署到公司的docker上问题一样没解决，给人的感觉就是代码根本没有从\#变$。

大家都知道$ 其实是有危险性，会容易被sql注入，具我所知道，我们公司的docker是会加一层防止 sql注入的功能 ，所以不知道是不是这个功能把的$无效掉了。

当然，我也没有去再到服务上打出sql来看一下，因为本来$就是不太安全的，所以我换了一种方式处理。

2.foreach标签的使用

foreach标签主要用于构建in条件，他可以在sql中对集合进行迭代。

先来看看语法：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zODI5NDk5OQ_size_16_color_FFFFFF_t_70 2]  
通过上图，大家也应该也了解和使用这个标签了吧。

那对于我们项目中的改造，其实就是把原来传进来的字符型参数变成**list< interger >**，这样问题就完美的解决了，既实现了我们的功能 ，又解决了安全性问题。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zODI5NDk5OQ_size_16_color_FFFFFF_t_70]: /images/20220126/b68b606323a84748bc37b9d11fae2b80.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zODI5NDk5OQ_size_16_color_FFFFFF_t_70 1]: /images/20220126/17178f5f8ef84b5c81a6384124d14ce7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zODI5NDk5OQ_size_16_color_FFFFFF_t_70 2]: /images/20220126/32cded74a0d445be97e0a55f445ba490.png