mybatis中的#和$的区别

刺骨的言语ヽ痛彻心扉 2022-06-10 13:56 173阅读 0赞

# [mybatis中的\#和$的区别][mybatis] #

1. \#将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：order by \#user\_id\#，如果传入的值是111,那么解析成sql时的值为order by "111", 如果传入的值是id，则解析成的sql为order by "id".  
　　  
2. $将传入的数据直接显示生成在sql中。如：order by $user\_id$，如果传入的值是111,那么解析成sql时的值为order by user\_id,  如果传入的值是id，则解析成的sql为order by id.  
　　  
3. \#方式能够很大程度防止sql注入。  
　　  
4.$方式无法防止Sql注入。  
  
5.$方式一般用于传入数据库对象，例如传入表名.  
　　  
6.一般能用\#的就别用$.   
  
  
 MyBatis排序时使用order by 动态参数时需要注意，用$而不是\#   
  
  
 字符串替换  
默认情况下，使用\#\{\}格式的语法会导致MyBatis创建预处理语句属性并以它为背景设置安全的值（比如?）。这样做很安全，很迅速也是首选做法，有时你只是想直接在SQL语句中插入一个不改变的字符串。比如，像ORDER BY，你可以这样来使用：  
ORDER BY $\{columnName\}  
这里MyBatis不会修改或转义字符串。

重要：接受从用户输出的内容并提供给语句中不变的字符串，这样做是不安全的。这会导致潜在的SQL注入攻击，因此你不应该允许用户输入这些字段，或者通常自行转义并检查。

转载：[http://weijun726.blog.163.com/blog/static/87342299201362652950398/][http_weijun726.blog.163.com_blog_static_87342299201362652950398]

[mybatis]: http://blog.csdn.net/kobi521/article/details/16941403
[http_weijun726.blog.163.com_blog_static_87342299201362652950398]: http://weijun726.blog.163.com/blog/static/87342299201362652950398/

发表评论取消回复

表情：

评论列表（有 0 条评论，173人围观）

还没有评论，来说两句吧...

相关阅读

相关 mybatis中“#{}“和“${}“的区别

动态 sql 是 mybatis 的主要特性之一，在 mapper 中定义的参数传到 xml 中之后，在查询之前 mybatis 会对其进行动态解析。mybatis 为我们提供

Myth丶恋晨/ 2022年12月30日 13:38/ 0 赞/ 5 阅读

相关 mybatis中#和$的区别

动态 sql 是 mybatis 的主要特性之一，在 mapper 中定义的参数传到 xml 中之后，在查询之前 mybatis 会对其进行动态解析。mybatis 为我们提供

深藏阁楼爱情的钟/ 2022年06月15日 00:26/ 0 赞/ 250 阅读

相关 mybatis中#和$的区别

简单的讲,\需要预编译,可以防止sql注入,而$不能,具体如下: 1. \将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：order by \user

我会带着你远行/ 2022年06月13日 13:08/ 0 赞/ 43 阅读

相关 MyBatis 中 #{} 和 ${} 的区别

\\{\}： \\{\}：以预编译的形式，将参数设置到 SQL 语句中。相当于PreparedStatement。可以防止 SQL 注入。 SELECT FR

水深无声/ 2022年06月02日 04:15/ 0 赞/ 49 阅读

相关 mybatis中#和$的区别？

1.\\{\}用来传入参数 ①sql在动态解析的时候会加上" "，当成字符串来解析成为一个占位符‘？’； ②可以很大程度上防止SQL注入。 2.$\{\}用来传入参

悠悠/ 2022年05月24日 06:25/ 0 赞/ 228 阅读

相关 mybatis中$和#的区别

在mybatsi中， $\{\}会直接取值为string，直接写在SQL中。 \\{\}会表现为在SQL中一个占位符，然后取参数对应的值进行填充SQL $\{\}在动

今天药忘吃喽~/ 2022年05月11日 08:18/ 0 赞/ 10 阅读

相关 mybatis中的$和#区别

提前总结： 1mybatis中$取值不会自动给你转为string类型，即不会给你自动在值得两侧加双引号，用\取值会自动转为String，自动加双引号，这个大家都知道。 2

曾经终败给现在/ 2022年04月15日 03:58/ 0 赞/ 283 阅读

相关 mybatis中#{}和${}的区别

\\{\}表示一个占位符号，通过\\{\}可以实现preparedStatement向占位符中设置值，自动进行java类型和jdbc类型转换。\\{\}可以有效

╰半橙微兮°/ 2022年03月25日 14:40/ 0 赞/ 288 阅读

相关 mybatis中#{}和${}的区别

1. 将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：order by user_id，如果传入的值是111,那么解析成sql时的值为order by

我会带着你远行/ 2022年02月01日 10:11/ 0 赞/ 303 阅读

相关 mybatis中"#"和"$"的区别

文章转自：[https://www.cnblogs.com/kangyun/p/5881531.html][https_www.cnblogs.com_kangyun_p_5

迈不过友情╰/ 2021年09月19日 10:46/ 0 赞/ 429 阅读