mybatis中sql语句中的#和$

最新推荐文章于 2022-03-20 10:56:54 发布
最新推荐文章于 2022-03-20 10:56:54 发布
阅读量879 收藏
点赞数 1
分类专栏： Mybatis
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/William_hangshao/article/details/62039623
版权

一直写mybatis的sql语句，当时想只要实现它的功能就行了，也没过多的去理解；

首先我们大家都知道#和$都是用来传值的，但他们之间是怎么区分的呢？什么时候用哪个好呢？

1、#将传入的数据都当成字符串，执行sql时会对传入的数据自动加上引号，如：where time like concat (#{time},'%')，如果传入的值为2016-10-1，解析为sql时则为where time like '2016-10-1%'

2、$将传入的数据直接显示在生成的sql中，如：limit ${page.startIndex},${page.pageSize}

3、#能够很大程度上防止sql注入，$则无法防止sql注入

4、$一般用于传入数据库对象

5、mybatis排序时使用order by动态参数时使用$而不是#

6、一般能用#就不使用$，因为默认情况下，使用#{}方式的语法会导致mybatis创建预处理语句属性并以它为背景设置安全的值，mybatis不会修改和转义字符串，这样很安全



Vain-Glory
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Mybatis下动态sql中##和$$的区别讲解
08-26
在Mybatis中，使用Mapper.xml文件来定义SQL语句，并使用#{ }和${ }来传递参数。那么，在Mybatis下动态sql中##和$$的区别是什么呢？ 首先，我们需要了解的是，Mybatis在对SQL语句进行预编译之前，会对SQL语句进行...
mybatis sql 操作符$和#
分享，卓越
01-21 1261
orm框架实质上是对java sql的上层封装，所以对于sql语句的处理也分为两种方式：statement和preparestatement。 mybatis中的包含$和#操作符的sql语句分别对应statement和preparestatement。 关于#/preparestatement 1.sql语句创建预处理sql，#{value}作为占位符出现。 2.预处理语句一般会缓存，多次
myBatis中的#和$的区别
耀的专栏
03-05 1013
MyBatis 是一款优秀的持久层框架，它支持定制化 SQL、存储过程以及高级映射。MyBatis 避免了几乎所有的 JDBC 代码和手动设置参数以及获取结果集。MyBatis 可以使用简单的 XML 或注解来配置和映射原生信息，将接口和 Java 的 POJOs(Plain Old Java Objects,普通的 Java对象)映射成数据库中的记录。 动态sql 是mybatis 的主要特性之一，在mybatis中我们可以把参数传到xml文件，由mybatis对sql及其语法进行解析，m...
mysql存储过程详解以及在mybatis中执行存储过程
北眼的博客
05-18 625
1.存储过程简介 Mysql储存过程是一组为了完成特定功能的SQL语句集，经过编译之后存储在数据库中，当需要使用该组SQL语句时用户只需要通过指定储存过程的名字并给定参数就可以调用执行它了，简而言之就是一组已经写好的命令，需要使用的时候拿出来用就可以了。 储存过程是一个可编程的函数，它在数据库中创建并保存。它可以有SQL语句和一些特殊的控制结构组成。当希望在不同的应用程序或平台上执行相同的函...
sql注入、Mybatis中的#{参数}和${参数}
qq_45859087的博客
08-08 864
sql注入、Mybatis中的#{参数}和${参数}sql注入概述：mybatis中的#{参数} 和 ${参数}sql注入解决方案#{参数}和${参数}总结 sql注入概述： 针对SQL注入的攻击行为可描述为：在与用户交互的程序中（如web网页）,非法用户通过可控参数注入SQL语法,将恶意sql语句输入拼接到原本设计好的SQL语句中，破坏原有SQL语法结构，执行了与原定计划不同的行为，达到程序编写时意料之外结果的攻击行为，其本质就是使用了字符串拼接方式构造sql语句，并且对于用户输入检查不充分,导致SQL
Mybatis中sql语句的#号和$号的区别
m0_46672151的博客
03-20 1250
1、#{变量名} #{变量名}可以进行预编译、类型匹配等操作，#{变量名}会转化为jdbc的类型。 select * from tableName where id = #{id} 假设id的值为12，其中如果数据库字段id为字符型，那么#{id}表示的是‘12’；如果是整型，则id的值为12; 并且Mybatis会将上面SQL语句转化为jdbc的 select * from tableName where id =?，把？参数值设置为id的值。 这种方式使得sql语句是经过预编译的，它是把#{}中间的
Mybatis中 SQL语句复用
08-31
Mybatis 中 SQL 语句复用是指在 Mybatis 框架中，重复使用相同的 SQL 语句，以提高代码的可维护性和可读性。这种技术可以使开发者更方便地编写 SQL 语句，并使代码更加简洁。 在 Mybatis 中，SQL 语句复用可以通过 ...
浅谈mybatis中的#和$的区别
09-02
在MyBatis中，`#`和`$`是用来动态构造SQL语句的占位符，它们的区别主要在于SQL预编译和防止SQL注入的能力。理解这两种符号的用法对于编写安全、高效的MyBatis映射文件至关重要。 1. `#`占位符： - `#`将传入的数据...
Mybatis中SQL语句的编写.pdf
最新发布
06-27
mybatis 中SQL语句的编写.pdf
mybatis动态SQL语句
04-28
if 、where、set、trim、choose 、foreach等在mybatis中的具体用法，有具体实例可供参考，玩转mybatis
MyBatis中#{}和${}的作用与区别
陈三千的博客
03-07 6260
在mybatis中#和$的主要区别是：#传入的参数在SQL中显示为字符串，#方式能够很大程度防止sql注入；$传入的参数在SqL中直接显示为传入的值，$方式无法防止Sql注入。 1、传入的参数在SQL中显示不同 #{} 将传入的参数（数据）都当成是一个字符串，在SQL中显示为字符串，会对自动传入的数据加一个双引号。 「对自动传入的数据加一个双引号」 例：使用以下SQL语句 select id,name from student where id =#{id}; //当我们传递的参数id为 "1" 时，上
Mybatis中$与#使用和区别
恶魔盒子
03-02 235
Mybatis中$与#使用和区别 1.# #{}表示一个占位符，进行参数传递的时候，会将传递的参数看作是字符串，并且加上引号，替换占位符的位置，连接到sql语句中； #{}可以接收简单类型和pojo，如果paramaterType传递的是简单类型，#{}括号中可以是value或其他； xml文件中代码： // 模糊查询 # <select id="findByName" parameter...
Mybatis中sql的各种写法，项目中的。存储过程写法，创建索引写法
little_dream2018的博客
03-21 3938
关键是扩大自己的视野，因为有的我真的不知道可以这样写？ 比如： 一：if test --可以去掉多余的and <if test = "defaultQuery and sum == false"> AND (sysdate - T.CREATED) &lt; 90 </if> <if test = "limit30 and sum == false">...
Mybatis中#{}和${}用法以及执行存储过程
qq_28461661的博客
03-05 668
使用#{}会将传入的参数用引号包裹例如：‘a’ 使用${}传入的参数不会用引号包裹 例如 a 在mybatis中编译存储过程 下面传入的${runCode}就是传入的存储过程 &lt;update id="createProduce" parameterType="com.hex.dop.eams.config.model.Ruleset"&gt; ${runCode} &lt;/...
mybatis SQL注入之$和#的区别
mengtianqq的博客
03-27 4363
mybatis SQL注入之$和# 目录 mybatis SQL注入之$和# 一、在sql语句中，#可以防止被注入，$可以动态插入列名或者表名。 二、动态插入列名或表名的方便， 一、在sql语句中，#可以防止被注入，$可以动态插入列名或者表名。 1.在sql中#{}是传参数的方式插入值，#{value}碧不参与bybatis的代码编译，是实际上#{value}就是自动帮我们加了双引...
mybatis中#和$在使用上有哪些区别
hefk688的博客
09-08 4152
mybatis中#和$的区别是什么 1、传入的参数在SQL中显示不同 #传入的参数在SQL中显示为字符串（当成一个字符串），会对自动传入的数据加一个双引号。 例：使用以下SQL select id,name,age from student where id =#{id} 当我们传递的参数id为 "1" 时，上述 sql 的解析为： select id,name,age from student where id ="1" $传入的参数在SqL中直接显示为传入的值 例：使用以下SQL select id,n
Mybatis #和$区别以及原理
热门推荐
张井天的博客
06-04 4万+
总结： #可以防止Sql 注入，它会将所有传入的参数作为一个字符串来处理。 $ 则将传入的参数拼接到Sql上去执行，一般用于表名和字段名参数，$ 所对应的参数应该由服务器端提供，前端可以用参数进行选择，避免 Sql 注入的风险 为什么? 为什么 # 和 $ 的作用不同，Mybatis 对他们做了哪些惨无人道的处理，我们看一下下面的例子，并追踪一下源码总结。 示例代码： 创建一个 tb...
mybatis学习笔记(5):Mapper XML中参数接收#{}和${}的区别
YellowStar的博客
06-30 2875
　动态 sql 是 mybatis 的主要特性之一，在 mapper 中定义的参数传到 xml 中之后，在查询之前 mybatis 会对其进行动态解析。mybatis 为我们提供了两种支持动态 sql 的语法：#{} 以及 ${}。 在下面的语句中，如果 username 的值为 zhangsan，则两种方式无任何区别： select * from user where name = #{na...
Mybatis的SQL语句中#{}和${}的区别
xp_xpxp的博客
06-30 722
1>.#{}是预编译处理,${}是字符串替换; 2>.在动态SQL解析阶段,#{}和${}会有不同的表现: 例如SQL语句: select * from table where field1=#{xxx} AND field2=’${xxx}’; ①.#{}会被解析为一个JDBC预编译语句(prepared statement)的参数标记符占位符?,之后再调用PreparedStatement的set方法来赋值.上面的SQL语句就被解析为: ...... field1=? ②.${}仅仅为一
mybatis中sql语句的参数占位符
05-25
MyBatis中的SQL语句参数占位符有两种形式：基于#{}的占位符和基于${}的占位符。 1. 基于#{}的占位符 基于#{}的占位符是MyBatis中推荐使用的占位符形式，它可以防止SQL注入攻击，并且支持自动类型转换。在SQL语句中使用#{}时，MyBatis会将#{}替换成一个问号?，然后使用PreparedStatement设置参数值，从而避免了SQL注入攻击。 示例代码： ```xml <select id="getUserById" resultType="User"> SELECT * FROM user WHERE id = #{id} </select> ``` 2. 基于${}的占位符 基于${}的占位符是MyBatis中比较常用的占位符形式，它可以将参数直接替换到SQL语句中。但是，使用基于${}的占位符容易引发SQL注入攻击，因为参数值会被直接拼接到SQL语句中，而不会进行任何处理。因此，建议在使用基于${}的占位符时，要进行必要的参数校验和过滤。 示例代码： ```xml <select id="getUserByName" resultType="User"> SELECT * FROM user WHERE name = '${name}' </select> ```

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值