MyBatis中#{}与${}的使用

含义

• #{}: 为占位符

• ${}: 为拼接符

MyBatis 中 #{} 和 ${} 的主要区别

• # 传入的参数在 SQL 中显示为字符串,# 方式能够很大程度防止 SQL 注入
• $ 传入的参数在 SQL 中直接显示为传入的值,$ 方式无法防止 SQL 注入

其他区别

• 传入的参数在 SQL 中显示不同
  • #{} 为参数占位符？，即 SQL 预编译
  • # 传入的参数在 SQL 中显示为字符串（当成一个字符串），会对自动传入的数据加一个双引号。
  • 
  • ${} 为字符串替换，即字符串拼接
  • $ 传入的参数在 SQL 中直接显示为传入的值
  • 
• # 可以防止 SQL 注入的风险（语句的拼接）；但 $ 无法防止 SQL 注,入。
• $ 方式一般用于传入数据库对象，例如，传入表名。
• 大多数情况下还是经常使用 #，一般能用 # 的就别用 $；但有些情况下必须使用 $，例：MyBatis 排序时使用 Order By 动态参数时需要注意，用 $ 而不是 #。
• 执行流程
  • #{}：动态解析 --> 预编译 --> 运行
  • ${}：动态解析 --> 编译 -->运行
• 变量替换
  • ​​​​​​​#{}：变量替换是在DBMS(数据库管理系统)中,会对对应的变量自动加上''
  • ${}：变量替换实在DBMS外，不会对对应的变量加上''