${}和#{}的区别

最新推荐文章于 2024-08-02 16:18:07 发布

及时当勉励岁月不待人

最新推荐文章于 2024-08-02 16:18:07 发布

阅读量2.3k

点赞数

分类专栏： MyBatis

本文链接：https://blog.csdn.net/SoumnsJ/article/details/78830193

版权

MyBatis 专栏收录该内容

5 篇文章 0 订阅

订阅专栏

第一种解释:

原sql语句：

<span style="font-size:18px;">delete from  
ups_role_permission_dataparams  
where role_id = #{roleId,jdbcType=INTEGER}</span>

在这里用到了#{},使用#时：

1、用来传入参数，sql在解析的时候会加上" ",当成字符串来解析，如这里 role_id = "roleid";

2、#{}能够很大程度上防止sql注入;

延伸：

1、用${}传入数据直接显示在生成的sql中，如上面的语句，用role_id = ${roleId,jdbcType=INTEGER},那么sql在解析的时候值为role_id = roleid，执行时会报错;

2、${}方式无法防止sql注入;

3、$一般用入传入数据库对象，比如数据库表名;

4、能用#{}时尽量用#{};

注意：

mybaties排序时使用order by 动态参数时需要注意，使用${}而不用#{};

第二种解释:

#{} 解析的是占位符？可以防止SQL注入， 比如打印出来的语句 select *　from table where id=?
${} 则是不能防止SQL注入打印出来的语句 select *　from table where id=2 实实在在的参数。
%{}用在ognl表达式中是保证'{' 和 '}'之间的内容是OGNL表达式取值方式的
SQL注入， 比如打印出来的语句 select *　from table where id=?
${} 则是不能防止SQL注入打印出来的语句 select *　from table where id=2 实实在在的参数。
%{}用在ognl表达式中是保证'{' 和 '}'之间的内容是OGNL表达式取值方式的