Mybatis的#{ }和${ }的区别详解

蔚落 2023-02-28 04:08 32阅读 0赞

## 1、\# 占位符 ##

就是告诉mybatis使用实际参数值替代，将传入的数据当成一个字符串，会对自动传入的数据加一个双引号。\# \{\}一般用在用户输入值的地方。  
例如：  
**select \* from user where id =\#\{id\}; 如果 传入的值是29，就会转为‘29’**  
**mapper文件**

<select id="selectAll3" resultType="cn.com.Ycy.mybatis.domain.user">
    	select * from user where id =#{id} or username=#{username};
    </select>

**这个封装着JDBC的执行语句如下：**

String sql = "select * from user where id =? or username= ?";
    PreparedStatment pst = conn.PreparedStatment(sql);
    pst.setInt(1,100);
    pst.setString(2,"张飞");

## 2.、$ 字符串替换 ##

就是告诉mybatis 使用 $ 包含的"字符串"替换所在的位置，使用Statment 执行 sql语句和$\{ \}内容**连接起来**  
**mapper文件**

<select id="selectAll3" resultType="cn.com.Ycy.mybatis.domain.user">
    	select * from user where id =${ id} or username=${ username};
    </select>

**转为JDBC的执行就是如下：** 内部封装着的JDBC执行过程：

Statement st = conn.createStatement();
    ResultSet rs = st.executeQuery(sql);
    //sql是替换拼接之后的sql语句

$:一般可以替换表名或者列明，或者你可以确定的,也就是我们程序员自己赋值的地方。  
比如：  
         select \* from user order by $\{colName\}

通过执行上面的代码，并查看 \# 和 $ 执行的日志分析：

select * from user where id = #{id};

日志结果：  
**select \* from user where id =?;**

select * from user where id =${ id};

日志结果：  
**select \* from user where id =29;**

**总结 $ 和 \# 的区别：**  
        **1.** \# 使用 ？在sql语句中作占位的，使用PreparedStatment执行sql，效率高  
        **2**. \# 能够避免sql注入，更安全  
        **3**. $ 不使用占位符，是字符串连接的方式，使用Statment对象执行sql，效率低  
        **4.** $ 有sql注入的风险，不安全  
        **5**. 可以替换表名或者列名，或者确定的，我们程序员赋值的地方