Mybatis中#和$的区别

在MyBatis中，#{} 和 ${} 是两种用于参数替换的占位符，但它们在处理方式和安全性上有所不同

#{}

预编译处理：MyBatis在处理#{}时，会将其中的内容作为参数进行预编译处理。这意味着MyBatis会生成一个PreparedStatement对象（预编译的SQL语句），并将#{}中的内容作为参数传递给这个对象。因此，当SQL语句执行时，参数会被直接设置到SQL语句中，而不是替换整个占位符。

举例：

<select id="selectUserById" resultType="User">  
    SELECT * FROM users WHERE id = #{userId}  
</select>

• 在这个例子中，#{userId} 是一个占位符，它会被预处理为一个参数占位符（通常被替换为 ?），也就是说 SELECT * FROM users WHERE id = #{userId} 会被替换为 SELECT * FROM users WHERE id = ?
• 并且MyBatis会使用PreparedStatement的set方法来为这个占位符设置值。
• 当调用这个方法时，你通常会传递一个参数给 selectUserById 方法，这个参数会被MyBatis自动绑定到 #{userId} 占位符上。

性能更高

• 当SQL语句被预编译后，其编译后的版本会被缓存起来。
• 后续再次执行相同的SQL语句时，数据库服务器会直接从缓存中取出编译后的版本，而无需再次进行编译。
• 这减少了编译所需的计算资源和时间，从而提高了性能。

防止SQL注入：由于#{}使用了预编译的方式，它会自动处理参数中的特殊字符，如引号、分号等，从而防止了SQL注入攻击。

举例：

        如果我们传递一个参数值userId为 1' OR '1'='1（这是一个常见的SQL注入攻击尝试），MyBatis会将其绑定到SQL语句中，生成的实际执行的SQL语句将类似于：

        SELECT * FROM users WHERE id = ?

        参数1' OR '1'='1会被作为一个普通的参数值传递，数据库会正确地将其当作一个字符串值来处理，而不会执行任何SQL注入代码。（由于使用了参数绑定，这个字符串值不会被当作SQL语句的一部分来解析和执行。相反，它会被当作一个普通的字符串值来与数据库中的列值进行比较。）

      

${}

字符串替换：与#{}不同，MyBatis在处理${}时，会将其中的内容直接替换到SQL语句中，而不是作为参数传递。这意味着${}中的内容会原样输出到SQL语句中，因此需要注意特殊字符和SQL注入的问题。

举例：

<select id="selectUserByName" resultType="User">  
    SELECT * FROM users WHERE name = '${userName}'  
</select>

• 在这个例子中，${userName} 会被直接替换为实际的变量值。MyBatis不会对其进行任何预处理或转义。

SQL注入风险：

        如果 userName 包含了恶意的SQL代码（如 ' OR '1'='1），那么这个SQL语句就会变成 SELECT * FROM users WHERE name = '' OR '1'='1'，这将会返回表中的所有用户记录（因为'1'='1'是满足的）。

        在实际应用中，如果必须使用 ${}（例如在动态表名或列名的情况下），请确保传入的变量值是安全的、经过验证的，或者来自于受信任的来源。

总结

• #{} 是安全的，因为它使用预编译的SQL语句和参数绑定。
• ${} 是不安全的，因为它直接将变量值替换到SQL语句中，可能导致SQL注入。
• 在大多数情况下，应该优先使用 #{} 而不是 ${}。当确实需要使用 ${} 时，请确保输入是安全的。