MyBatis 中 `#` 和 `$` 的区别与使用策略

在MyBatis中，# 和 $ 是用于将参数插入SQL语句的两种方式。理解它们的区别及应用场景，对编写安全且高效的代码至关重要。

1. # 和 $ 的核心区别

• # (占位符):

  • 安全性: 参数值在SQL执行时作为PreparedStatement的参数被安全地绑定。MyBatis将参数转换为字符串并使用?占位符，防止SQL注入。
  • 性能: 使用SQL预编译机制，数据库可以缓存已编译的SQL语句，从而提高查询效率。

• $ (直接拼接):

  • 灵活性: 参数值直接拼接到SQL字符串中，适用于动态生成SQL的一部分（如表名、列名、排序条件）。
  • 安全性风险: 由于参数未被转义，存在SQL注入的风险，特别是在处理用户输入时需格外小心。

2. 优缺点对比

特性	# (占位符)	$ (直接拼接)
参数插入方式	使用占位符，将参数作为预编译SQL的参数	直接将参数拼接到SQL字符串中
安全性	高，防止SQL注入	低，有SQL注入风险
SQL预编译支持	支持，提升查询性能	不支持，无法预编译
灵活性	较低，适用于固定SQL结构	高，适用于动态SQL语句
适用场景	常规查询、更新操作，处理用户输入的数据	动态SQL，如动态表名、列名、排序等
使用风险	低，推荐在大多数情况下使用	高，需谨慎使用，避免用户输入直接拼接

3. 使用策略

• 优先使用#: 在大多数情况下，应优先使用#，它能够提供更好的安全性和性能，适用于常规的查询、插入、更新操作。

• 谨慎使用$: 在需要动态生成SQL的一部分时，如动态表名或排序条件，可以使用$。但务必确保这些动态内容不是来自用户输入或其他不可信来源，以避免SQL注入风险。

• 性能与可读性考虑: 尽管$可以在某些动态SQL场景下简化代码，但应权衡安全性和性能。在复杂的SQL生成场景下，尽量保持代码的可读性，并确保代码审查严格执行。

4. 代码示例

4.1 使用 # 的示例

<!-- 查询指定ID的用户信息 -->
<select id="getUserById" parameterType="int" resultType="User">
  SELECT * FROM users WHERE id = #{id}
</select>

解释: 在这个例子中，#{id} 会被MyBatis处理为一个占位符，实际SQL会变为 SELECT * FROM users WHERE id = ?，并且id的值会作为参数绑定，防止SQL注入。

4.2 使用 $ 的示例

<!-- 根据动态排序条件查询用户信息 -->
<select id="getUsersByOrder" parameterType="map" resultType="User">
  SELECT * FROM users ORDER BY ${orderColumn}
</select>

解释: 在这个例子中，${orderColumn} 会被MyBatis直接拼接到SQL字符串中。如果传入的参数是 name，实际SQL会变为 SELECT * FROM users ORDER BY name。需要注意的是，这里必须确保 orderColumn 的值是安全的，不能直接从用户输入中获取，否则可能导致SQL注入。

5. 总结

理解#和$的不同使用场景和各自的优缺点，可以帮助我们在实际开发中编写更安全、高效、可维护的MyBatis代码。在大多数情况下，推荐使用#，只有在必要时才使用$，并做好安全防范措施。