Mybatis 中#和$的区别是什么？

小咪咪 2024-03-24 19:41 94阅读 0赞

在MyBatis中，`#`和`$`是两种不同的参数占位符。 `#`是预编译的占位符，它可以防止SQL注入攻击。当使用`#`时，MyBatis会将参数值以安全的方式替换到SQL语句中，使用的是PreparedStatement的预编译机制。例如，如果我们使用`#{name}`作为参数占位符，那么MyBatis会将该占位符替换为`?`，并将参数值以安全的方式传递给PreparedStatement。 `$`是字符串替换的占位符，它直接将参数的字符串值替换到SQL语句中。当使用`$`时，需要注意SQL注入攻击的风险。因为参数值是直接替换到SQL语句中的，如果参数值中包含恶意的SQL代码，可能会导致安全问题。因此，使用`$`时需要进行参数验证和过滤。 综上所述，`#`是安全的占位符，适合用于大部分情况下，并且推荐在编写MyBatis SQL语句时使用`#`进行参数的占位；而`$`是字符串替换的占位符，适合用于一些特殊的需求，但需要注意防止SQL注入攻击。

下面是一个使用`#`和`$`的示例代码： 假设有一个User表，包含id、name和age字段。 使用`#`的示例代码：

javaCopy code@Select("SELECT * FROM User WHERE name = #{name} AND age > #{age}")
    List<User> getUsersByNameAndAge(@Param("name") String name, @Param("age") int age);

上述代码中，`#{name}`和`#{age}`都使用了`#`作为占位符。MyBatis会将参数值以安全的方式替换到SQL语句中。 使用`$`的示例代码：

javaCopy code@Select("SELECT * FROM User WHERE name = '${name}' AND age > ${age}")
    List<User> getUsersByNameAndAge(@Param("name") String name, @Param("age") int age);

上述代码中，`${name}`和`${age}`都使用了`$`作为占位符。注意，这里没有使用`#{}`进行占位符的标识，而是直接使用了`${}`。使用`$`时，参数值会直接替换到SQL语句中，需要注意防止SQL注入攻击的风险。 需要注意的是，使用`#`和`$`的方式会影响SQL的执行方式和安全性，根据具体情况选择合适的方式。

**目录**

Mybatis 中\#和$的区别是什么？

1. \# 占位符

2. $ 占位符

3. 区别与应用场景

--------------------

### Mybatis 中\#和$的区别是什么？ ###

在Mybatis中，`#`和`$`是两种不同的参数占位符符号，它们在使用方式和处理机制上存在一些区别。本文将介绍`#`和`$`在Mybatis中的区别以及各自的应用场景。

### 1. `#` 占位符 ###

`#`是Mybatis中常用的参数占位符，它的主要特点是可以防止SQL注入攻击。在使用`#`占位符时，Mybatis会对参数进行预编译处理，将参数值以安全的方式传递给数据库。 使用`#`占位符的语法是`${propertyName}`，其中`propertyName`为Java对象的属性名。Mybatis会根据属性名自动匹配传入的参数。 例如，有如下Mapper接口方法：

javaCopy code@Select("SELECT * FROM users WHERE id = #{id}")
    User getUserById(int id);

在这个例子中，`#{id}`表示将方法传入的`id`参数与SQL语句进行绑定，Mybatis会自动为`id`参数进行预编译处理。

### 2. `$` 占位符 ###

`$`是Mybatis中另一种参数占位符，它的特点是不进行预编译处理。使用`$`占位符时，Mybatis会将占位符替换为具体的参数值，这样可以方便地拼接SQL语句。 使用`$`占位符的语法是`${propertyName}`，其中`propertyName`为Java对象的属性名。Mybatis会将`${propertyName}`替换为实际的参数值。 例如，有如下Mapper接口方法：

javaCopy code@Select("SELECT * FROM users WHERE id = ${id}")
    User getUserById(int id);

在这个例子中，`${id}`表示将方法传入的`id`参数直接拼接到SQL语句中，不进行预编译处理。

### 3. 区别与应用场景 ###

`#`和`$`在Mybatis中的区别主要有以下几点：

*  `#`占位符可以防止SQL注入攻击，因为它会对参数进行预编译处理，将参数值以安全的方式传递给数据库。而`$`占位符不进行预编译处理，可能存在SQL注入的风险。
 *  `#`占位符适用于传递参数值，它会将参数值作为一个整体传递给数据库。而`$`占位符适用于拼接SQL语句，它会将参数值直接替换到SQL语句中。
 *  `#`占位符可以防止SQL语句错误，因为它会将参数值作为字符串传递给数据库。而`$`占位符在拼接SQL时，参数值会被直接替换，如果参数值不合法，可能会导致SQL语句错误。 综上所述，`#`和`$`在Mybatis中有着不同的处理方式和应用场景。在编写SQL语句时，应根据具体需求选择合适的占位符符号。如果需要防止SQL注入攻击或保证参数值的安全性，应使用`#`占位符；如果需要灵活地拼接SQL语句，可以使用`$`占位符。

发表评论取消回复

表情：

评论列表（有 0 条评论，94人围观）

还没有评论，来说两句吧...

相关阅读

相关 MyBatis中的#和$有什么区别

一. 什么是MyBatis MyBatis是一款优秀的持久层框架，特别是在国内(国外据说还是 Hibernate 的天下)非常的流行，我们常说的SSM组合中的M指的就是M

悠悠/ 2024年03月27日 14:32/ 0 赞/ 97 阅读

相关 Mybatis 中#和$的区别是什么？

在MyBatis中，``和`$`是两种不同的参数占位符。 ``是预编译的占位符，它可以防止SQL注入攻击。当使用``时，MyBatis会将参数值以安全的方式替换到SQL语句中，

小咪咪/ 2024年03月24日 19:41/ 0 赞/ 95 阅读

相关 MyBatis中的#{}和${}有什么区别？

首先\\{\} 和 $\{\} 都是参数占位符，其中\\{\}是预编译处理，$\{\}是字符直接进行替换。预编译处理是指：MyBatis 在处理\\{\}时，会将 SQL 中的

素颜马尾好姑娘i/ 2024年03月17日 09:40/ 0 赞/ 50 阅读

相关 #{}和${}的区别是什么？

1.\\{\}是预编译处理，相当于？，表示 sql 模板的占位符，并且会调用PreparedStatement的set方法来赋值； $\{\}是字符串替换

太过爱你忘了你带给我的痛/ 2023年10月14日 12:26/ 0 赞/ 63 阅读

相关 &和&&的区别是什么？

Java中&和&&的区别是什么？ &和&&的区别是什么？ &：位运算符：二进制中，如果相对应位都是1，则结果为1，否则为0。 &左右两边有一个符号为fal

梦里梦外;/ 2023年10月05日 09:28/ 0 赞/ 60 阅读

相关（一）什么是Mybatis？Mybatis的优点是什么？

这篇文章主要讲述Mybatis的一些基本概念，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧。目录什么是Mybat

蔚落/ 2022年11月22日 10:14/ 0 赞/ 305 阅读

相关 Mybatis中#{}和${}的区别是什么

\\{\}和$\{\}的区别是什么？ \\{\}是预编译处理，$\{\}是字符串替换。（1）mybatis在处理\\{\}时，会将sql中的\\{\}替换

た入场券/ 2022年10月01日 12:50/ 0 赞/ 240 阅读

相关 == 和 equals 的区别是什么？

1.注意事项 > java有两种数据类型： > 一种是基本数据类型（byte、short、int、long、char、double、float、boolean），

约定不等于承诺〃/ 2022年09月03日 00:17/ 0 赞/ 261 阅读

相关 #{}和${}的区别是什么？

\\{\}是预编译处理、是占位符， \{\}是字符串替换、是拼接符 Mybatis 在处理\\{\}时，会将 sql 中的\\{\}替换为?号，调用 PreparedS

水深无声/ 2022年08月28日 05:56/ 0 赞/ 255 阅读

相关 MyBatis精讲#{}和${}的区别是什么？

答案是：\\{\}是预编译处理，$\{\}是字符串替换。（1）mybatis在处理\\{\}时，会将sql中的\\{\}替换为?号，调用PreparedStatement的

梦里梦外;/ 2021年11月15日 11:24/ 0 赞/ 318 阅读