刷题,是一个持之以恒的历程
数据持久化是将内存中的数据模型转换为存储模型,以及将存储模型转换为内存中数据模型的统称。
MyBatis 支持定制化 SQL、存储过程以及高级映射,可以在实体类和 SQL 语句之间建立映射关系,是一种半自动化的 ORM 实现。
ORM(Object Relational Mapping,对象关系映射)是一种数据持久化技术,它在对象模型和关系型数据库之间建立起对应关系,并且提供了一种机制,通过 JavaBean 对象去操作数据库表中的数据。
ORM通过将对象模型与关系数据库的表进行映射,大大简化了数据库操作,使代码更具可读性、易维护性。
一、#与$ 区别 :${}拼接字符串 #{} 预编译,有效防止SQL注入
使用建议:
尽量使用#{}:因为它会预编译,能够有效防止SQL注入,并且能够自动进行类型转换。
避免直接使用${}进行不可信数据:除非你非常确定传入的参数是安全的,不会引起SQL注入。通常,只在需要动态生成SQL语法元素(如表名、列名)时使用 ${}。
示例图
二、防止SQL注入:
预编译-将SQL语句的语义确定, 之后无论传递任何的参数都不会改变SQL语句语义, 可以有效防止SQL注入,也可以有效加快批处理的效率
三、
三种接收数据方式:
在使用MyBatis进行数据库操作时,接收和传递数据的方法需要谨慎选择,以确保安全性和可维护性。接收数据的方式主要有三种:通过Mapper直接接收,通过简单的字符串传递,以及通过封装类传递。
1.Mapper直接接收参数(不推荐)
Mapper直接接收参数虽然简单,但是存在潜在的安全隐患,特别是当传递参数直接拼接到SQL语句中的时候,会导致SQL注入
缺点:
容易引起SQL注入。
代码维护性差,特别是当参数增多时
2. 通过简单字符串传递参数(不推荐)
将参数拼接成字符串传递,虽然能够避免一些简单场景下的拼接问题,但如果参数量较多或者包含特殊字符,就不太适用了
缺点:
当参数较多时,字符串拼接会变得不堪重负。
维护和阅读性差。
3. 封装类接收参数(推荐)--有效防止SQL注入
通过使用封装类(POJO,Plain Old Java Object),可以将多个参数封装到一个对象中传递。这种方法不仅能提高代码的可读性和可维护性,还能有效防止SQL注入。