mybatis的#{}和${}的区别以及order by注入问题

#{}相当于jdbc中的preparedstatement

${}是输出变量的值

#{} 去除变量的值自动转化为字符串 加上 ''

${} 里面的值直接取出来,不经过处理 不会给你加上''

所以在mybatis中如果 是order by 或则 group by 某个字段的时候 要用${} 二不能用#{}

简单说#{}是经过预编译的,是安全的,而${}是未经过预编译的,仅仅是取变量的值,是非安全的,存在sql注入.

这里先说一下只能${}的情况,从我们前面的例子中也能看出,order by是肯定只能用${}了,用#{}会多个' '导致sql语句失效.此外还有一个like 语句后也需要用${},简单想一下

就能明白.由于${}仅仅是简单的取值,所以以前sql注入的方法适用此处,如果我们order by语句后用了${},那么不做任何处理的时候是存在sql注入危险的.你说怎么防止,那我只

能悲惨的告诉你,你得手动处理过滤一下输入的内容,如判断一下输入的参数的长度是否正常(注入语句一般很长),更精确写查询一下输入的参数是否在预期的参数集合中..