【Mybatis系列】#{}和${}有什么区别？

Love The Way You Lie 2022-11-30 15:48 108阅读 0赞

*  在我们开发过程中写mybatis的时候可能大多数人都使用的是\#\{\} ，但是我们还有另外一个符号$\{\},他们之间的区别是什么？

当我们在应用变量的时候默认使用\#\{\}，如下：

<select id=getUserById  resultType="org.hyf.mybatis.model.User">
        select * from user where id = #{id};
    </select>

<select id=getUserById  resultType="org.hyf.mybatis.model.User">
        select * from user where id = ${id};
    </select>

通过上面的例子好像并没有看出他们之间有什么区别

### 一、下面我们通过日志来看一下他们之间的区别： ###

添加日志依赖：

在resources目录下，添加log4j.properties

log4j.rootLogger=DEBUG,stdout
    log4j.logger.org.mybatis=DEBUG
    log4j.appender.stdout=org.apache.log4j.ConsoleAppender
    log4j.appender.stdout.layout=org.apache.log4j.PatternLayout
    log4j.appender.stdout.layout.ConversionPattern=%5p %d %C: %m%n

**先看通过$\{\}运行的日志：**

![20200825084522416.png][]

从上面的日志中可以看出，$\{\}是一个纯粹的string 替换，在动态sql解析阶段会进行变量替换

**sql直接拼接就好了，Parameters为空**

**看\#\{\}运行的日志**

![20200825084722848.png][]

解析为一个JDBC的预编译语句的参数标记符

\#\{\}是占位符的方式来解决参数传递问题，变量的替换是在DBMS中，而且替换会自动加单引号   ‘’

$\{\}是参数拼接的问题，变量的替换是在动态SQL解析阶段，但是参数拼接可能会存在sql注入的

### 二、用法： ###

**1.能用\#\{\}的地方就用\#\{\}，因为$\{\}存在sql注入非常的不安全，可能一条查询语句就能变成删表操作**

例如：

select * from ${tableName} where name=#{name}
    这个时候我们传递tableName 为 user;delete user; --
    sql预编译之后变成：
    
    select * from user; delete user; -- where name = ?;

**2.表明作为变量的时候，必须使用$\{\}**

**知道为什么吗？**  **这是由于如果我们使用\#\{\}占位符传递的话会自动加上单引号‘’，但是$\{\}不会自动加单引号**

select * from #{tableName} where name = #{name};

预编译之后变成

select * from ? where name = ?;

假设我们传入的tableName=user name="zhangsan"

select * from 'User' where name='zhangsan';

上述sql语句是错误的，表名不能加单引号

### 三、什么是sql预编译？ ###

在上面的介绍中提到了很多次的sql预编译，sql预编译就是在数据库驱动在发送sql语句和参数给DBMS之前对sql语句进行编译，这样DBMS在执行sql语句就不需要重新编译

[20200825084522416.png]: /images/20221123/efdd103e093542a5a6b18c50d77f22dc.png
[20200825084722848.png]: /images/20221123/9986281c9aae4eb3a49fdb07c1c92ec5.png