MyBatis 占位符 # 和 $

朴灿烈づ我的快乐病毒、 2022-10-05 04:54 173阅读 0赞

# 1. MyBatis 占位符 \# 和 $ #

默认情况下，使用 \#\{\} 参数语法时，MyBatis 会创建 PrepareStatement 参数占位符，并通过占位符安全地设置参数(就像使用 ? 一样)。这样做更安全，更迅速，通常也是首选做法。

## 1.1 MyBatis 占位符之 \# ##

*  \#\{\} 占位符，MyBatis 会创建 PrepareStatement 参数占位符，并通过占位符安全地设置参数(就像使用 ? 一样)，可以有效防止 SQL 注入，更迅速；

示例：

<select id="selectById">
    	select * from user where id = #{id}
    </select>

## 1.2 MyBatis 占位符之 $ ##

*  $\{\} 占位符，创建 Statement 对象，执行 SQL 语句的效率相对于 \#\{\} 占位符低；
 *  $\{\} 占位符，直接使用字符串填充拼接，有 SQL 注入的风险；

<select id="selectById">
    	select * from user where id = ${id}
    </select>

## 1.3 \#\{\} 和 $\{\} 占位符混合使用 ##

有时候你就是想直接在 SQL 语句中直接插入一个不转移的字符串。比如 ORDER BY 子句，这个时候你可以:

ORDER BY ${columnName}

当 SQL 语句中的元数据(表名或列名) 是动态生成的时候，字符串替换将会非常有用：

不使用 $\{\} 占位符写法，可能是这样的:

<select id="selectById">
    	select * from user where id = #{id}
    <select>

<select id="selectByName">
    	select * from user where name = #{name}
    <select>

<select id="selectByEmail">
    	select * from user where email = #{email}
    <select>

使用 $\{\} 占位符写法，可能是这样的:

<select id="selectByColumn">
    	select * from user where ${column}=#{value}
    </select>

其中 $\{column\} 会被直接替换，而 \#\{value\} 会使用 ? 预处理。这种方式也同样适用于替换表名的情况。

**提示：**

--------------------

用 $\{\} 占位符方式接受用户的输入，并用作语句参数是不安全的，会导致潜在的 SQL 注入攻击。因此，要么不允许用户输入这些字段，要么自行转义并检验这些参数。

--------------------

发表评论取消回复

表情：

评论列表（有 0 条评论，173人围观）

还没有评论，来说两句吧...

相关阅读

相关 mybatis 注解占位符

`{}` 自动进行 java 类型和 jdbc 类型转换，\\{\}可以有效防止 sql 注入。 `select from user where username =

系统管理员/ 2022年10月27日 01:40/ 0 赞/ 165 阅读

相关中文占位符

&\32; => 普通的英文半角空格 &\160; =>   => &\xA0; => no-break space （普通的英文半角空格但不换行） &

ゝ一纸荒年。/ 2022年10月25日 01:20/ 0 赞/ 321 阅读

相关 css占位符

== 普通的英文半角空格 == == == no-break space （普通的英文半角空格但不换行）　 ==

红太狼/ 2022年10月09日 00:49/ 0 赞/ 400 阅读

相关 MyBatis 占位符 # 和 $

1. MyBatis 占位符 \ 和 $ 默认情况下，使用 \\{\} 参数语法时，MyBatis 会创建 PrepareStatement 参数占位符，并通过占位符安全

朴灿烈づ我的快乐病毒、/ 2022年10月05日 04:54/ 0 赞/ 174 阅读

相关 css占位符

&\32; == 普通的英文半角空格 &\160; ==   == &\xA0; == no-break space （普通的英文半角空格但不换行） &\1228

喜欢ヅ旅行/ 2022年05月24日 08:38/ 0 赞/ 328 阅读

相关 MyBatis占位符

MyBatis \\{value\} 使用\\{\}意味着使用的预编译的语句，即在使用jdbc时的preparedStatement，sql语句中如果存在参数则会使用?

谁践踏了优雅/ 2022年04月21日 15:50/ 0 赞/ 274 阅读

相关 ios 占位符

整型占位符说明 : %d : 十进制整数, 正数无符号, 负数有 "-" 符号; %o : 八进制无符号整数, 没有 0 前缀; %x : 十六进制无符号整数, 没

﹏ヽ暗。殇╰゛Y/ 2022年03月28日 12:45/ 0 赞/ 307 阅读

相关 tensorflow 占位符

[tensorflow的占位符][tensorflow]本质就是先声明数据类型，以便建立模型时申请内存。在这里声明的：[https://github.com/tens

拼搏现实的明天。/ 2022年02月28日 13:34/ 0 赞/ 274 阅读

相关 java占位符

一、format 　　1、`public static String format(String format, Object... args)` 　　使用本地语言环境

曾经终败给现在/ 2021年11月11日 02:06/ 0 赞/ 419 阅读

相关 MyBatis中#{}占位符与${}拼接符的使用

1、关于\\{\}占位符先来看以下的示例，该示例是MyBatis中的SQL映射配置文件（Mapper配置文件），在该配置中使用了\\{\}占位符。 <?xml

深藏阁楼爱情的钟/ 2021年07月24日 20:42/ 0 赞/ 529 阅读