后端面试每日一题 mybatis中#与$的区别

╰+哭是因爲堅強的太久メ 2023-01-22 06:52 27阅读 0赞

MyBatis中使用parameterType向SQL语句传参，parameterType支持的类型可以是基本类型int,String,HashMap和java自定义类型。

在SQL中引用这些参数的时候，可以使用两种方式：

*  `#{parameterName}`
 *  `${parameterName}` \- $可理解为占位符

首先，我们说一下这两种引用参数时的区别：

使用 `#{parameterName}`引用参数的时候，会预编译参数，例如传入参数是“zhangsan”，那么在下面SQL中：

<select id="selectUserByName" resultType="user">
        select * from user where name = #{name}
     </select>

使用的时候就会转换为：

select * from user where name = 'zhangsan'

同时使用`${parameterName}`的时候在下面SQL中

<select id="selectUserByName" resultType="user">
        select * from user where name = ${name}
     </select>

就会直接转换为：

select * from user where name = zhangsan

**简单说\#\{\}是经过预编译的,是安全的。**

**而$\{\}是未经过预编译的,仅仅是取变量的值,是非安全的,存在SQL注入。**

> \#\{\} 这种取值是编译好SQL语句再取值
> 
> $\{\} 这种是取值以后再去编译SQL语句,

下面我们用一个实际的例子看看分别使用和是否可以防止SQL注入。

**首先是使用\#\{\}：**

<select id="selectUserByName" resultType="user">
        select * from user where name = #{name}
     </select>

传参：

@Test
        public void selectUserByName(){ 
            SqlSession sqlSession = MybatisUtil.getSqlSession();
            UserMapper userMapper = sqlSession.getMapper(UserMapper.class);
            String name = "zhangsan or password=111111";
            List<User> users =  userMapper.selectUserByName(name);
            for (User user:users) { 
                System.out.println(user);
            }
            sqlSession.close();
        }

结果如下：

![img][]

**现在是使用$\{\}：**

<select id="selectUserByName" resultType="user">
        select * from user where name = ${name}
     </select>

传参：

@Test
        public void selectUserByName(){ 
            SqlSession sqlSession = MybatisUtil.getSqlSession();
            UserMapper userMapper = sqlSession.getMapper(UserMapper.class);
            String name = "'zhangsan' or password='111111'";
            List<User> users =  userMapper.selectUserByName(name);
            for (User user:users) { 
                System.out.println(user);
            }
            sqlSession.close();
        }

结果如下：

![img][img 1]

很明显，使用$\{\}将参数拼接后在编译成SQL语句，不能防止SQL注入，查询出了有关password=111111的额外信息，这是很危险的。

Mybatis中的\#\{\}用于传递查询的参数，用于从dao层传递一个string参数过来(也可以是其他参数)，select \* from 表名 order by age=\#\{age\}

Mybatis会把这个参数转换成一个字符串。select \* from 表名 order by age=“age” 相当于jdbc中的预编译，安全。

而$\{\}一般用于order by的后面，Mybatis不会对这个参数进行任何的处理，直接生成了sql语句。例：传入一个年龄age的参数，select \* from 表名 order by $\{age\}

Mybatis生成的语句为 select \* from 表名 order by age Mybatis不会对$传递的参数做任何处理，相当于jdbc中的另外一种编译方式。

**总结：一般我们使用\#\{\}，不使用$\{\}**

**原因：**

*  会引起sql注入，$\{\}会直接参与sql编译。会影响sql语句的预编译。

--------------------

引自：https://www.cnblogs.com/PoetryAndYou/p/11622334.html