ＭyBatis 中#与$的区别

柔光的暖阳◎ 2022-05-31 04:28 230阅读 0赞

今天在工作中有个点击排序的功能调试了许久，终寻因，总结之。  
　　需求是这样的，页面有个table，有一列的上下箭头可点击并排序。对于这种需求，我的mybatis.xml的sql配置写成了如下：

<if test="map.ColumnNameSort!=null and map.ColumnNameSort!=''"> 
    　　ORDER BY columnName #{map.ColumnNameSort} 
    </if>

ColumnNameSort即前端传的排序方式，asc或者desc。

然后，预计它的输出应该是类似于下面这样的

ORDER BY columnName desc

但是，真正跑起来时，排序的效果一直没出现，经常一番查找，发现是mybatis 的’\#\{\}’传值的问题，它将sql语句编译成了如下

ORDER BY columnName ‘desc’ 或者 ORDER BY columnName ‘asc’

这样，desc或者asc就成了字符串而不是关键字，sql语句的意思是columnName的别名是desc或者asc，没加排序关键字时默认是正序排序，成了如下

ORDER BY columnName "desc" asc 或者 ORDER BY columnName "asc" asc

排序没效果的问题找到原因了，解决之，mybatis提供了另一种绑定参数的方式–$\{param\}，将sql配置改为

ORDER BY columnName ${
       map.ColumnNameSort}

这样一来，mybatis会直接将ColumnNameSort的值加入sql中，不会转义。正确结果：

ORDER BY columnName desc

最后，对于mybatis中\#和$绑定参数的区别做个总结，避免以后类似的问题发生。

＃\{\}将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：order by \#\{id\}，如果传入的值是111,那么解析成sql时的值为order by “111”, 如果传入的值是id，则解析成的sql为order by “id”。

将传入的数据直接显示生成在sql中。如：orderby  将 传 入 的 数 据 直 接 显 示 生 成 在 s q l 中 。 如 ： o r d e r b y \{id\}，如果传入的值是111,那么解析成sql时的值为order by 111, 如果传入的值是id，则解析成的sql为order  
by id。

# 方式能够很大程度防止sql注入。 #

$方式无法防止Sql注入。

$方式一般用于传入数据库对象，例如传入表名.

一般能用\#的就别用$.

ps:在使用mybatis中还遇到

发表评论取消回复

表情：

评论列表（有 0 条评论，230人围观）

还没有评论，来说两句吧...

相关阅读

相关 mybatis中#与$的区别

MyBatis中使用parameterType向SQL语句传参，parameterType支持的类型可以是基本类型int,String,HashMap和java自定义类型

系统管理员/ 2022年11月27日 03:12/ 0 赞/ 233 阅读

相关 Mybatis 中$与#的区别

[Mybatis 中$与\的区别][Mybatis] 1 \是将传入的值当做字符串的形式，eg:select id,name,age from student where

野性酷女/ 2022年10月10日 12:59/ 0 赞/ 186 阅读

相关 mybatis 中#与$的区别

MyBatis/Ibatis中\和$的区别 1. \将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：order by \user\_id\，如果传入的

灰太狼/ 2022年09月21日 15:19/ 0 赞/ 198 阅读

相关 Mybatis 中$与#的区别

1 \是将传入的值当做字符串的形式， > eg:select id,name,age from student where id =\\{id\},当前端把id值1，传入

客官°小女子只卖身不卖艺/ 2022年09月04日 02:44/ 0 赞/ 216 阅读

相关 Mybatis 中#与$的区别

看到一篇文章比较好，由于某些特殊字符需要转义，就贴图片了。 ![这里写图片描述][SouthEast] [SouthEast]: /images/20220710/74

男娘i/ 2022年07月12日 10:54/ 0 赞/ 190 阅读

相关 mybatis 中#与$的区别

\\{\} 解析的是占位符？可以防止SQL注入，比如打印出来的语句 select 　from table where id=?\ 然而$\{\} 则是不能防止SQL注入打印出

小灰灰/ 2022年06月13日 08:48/ 0 赞/ 211 阅读

相关ＭyBatis 中#与$的区别

今天在工作中有个点击排序的功能调试了许久，终寻因，总结之。　　需求是这样的，页面有个table，有一列的上下箭头可点击并排序。对于这种需求，我的mybatis.xml的s

柔光的暖阳◎/ 2022年05月31日 04:28/ 0 赞/ 231 阅读

相关 mybatis中#与$的区别

相当于对数据加上双引号，$相当于直接显示数据 1.``将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：order by \user\_id\，如果传

超、凢脫俗/ 2022年05月23日 12:16/ 0 赞/ 229 阅读

相关 Mybatis 中$与#的区别

mybatis 在对 sql 语句进行预编译之前，会对 sql 进行动态解析，解析为一个 BoundSql 对象，也是在此处对动态 SQL 进行处理的。在动态 SQL 解析阶段

妖狐艹你老母/ 2022年05月15日 10:48/ 0 赞/ 238 阅读

相关 Mybatis 中$与#的区别

1 \是将传入的值当做字符串的形式 eg:select id,name,age from student where id =\\{id\} 当前端把id值1，传入到后台的

素颜马尾好姑娘i/ 2022年03月30日 05:28/ 0 赞/ 270 阅读