Ibatis (井号)# (美元符号)$ 区别
1、#可以进行预编译,进行类型匹配,#变量名#? 会转化为 jdbc的?类型
$不进行数据类型匹配,$变量名$就直接把$name$替换为 name的内容
例如:
select * from tablename where id = #id#,假设id的值为12,其中如果数据库字段id为字符型,那么#id#表示的就是'12',如果id为整型,那么#id#就是 12
??? 会转化为jdbc的select * from tablename where id=?,把?参数设置为id的值
????select * from tablename where id = $id$,如果字段id为整型,Sql语句就不会出错,但是如果字段id为字符型,
????那么Sql语句应该写成 select * from table where id = '$id$'
????
3、#方式能够很大程度防止sql注入.
4、$方式无法方式sql注入.
5、$方式一般用于传入数据库对象.例如传入表名.
6、所以ibatis用#比$好,一般能用#的就别用$.
另外,使用##可以指定参数对应数据库的类型
如:
select * from tablename where id =#id:number#?
在做in,like 操作时候要特别注意
mysql: select * from user where user_name like concat('%',#name#,'%')oracle: select * from user where user_name like '%'||#name#||'%'sql server: select * from user where user_name like '%'+#name#+'%'
--------------------------------------------------------------------------------------
昨天一个项目中在写ibatis中的sql语句时,order by #field#, 运行时总是报错,后来上网查了查,才知道这里不该用#,而应该用$,随即查了下#与$的区别.
总结如下:
1.#是把传入的数据当作字符串,如#field#传入的是id,则sql语句生成是这样,order by "id",这当然会报错..
2.$传入的数据直接生成在sql里,如#field#传入的是id,则sql语句生成是这样,order by id, 这就对了.
3.#方式能够很大程度防止sql注入.
4.$方式无法方式sql注入.
5.$方式一般用于传入数据库对象.例如传入表名.
6.一般能用#的就别用$.
就这么多了.
1、#可以进行预编译,进行类型匹配,#变量名#? 会转化为 jdbc的?类型
$不进行数据类型匹配,$变量名$就直接把$name$替换为 name的内容
例如:
select * from tablename where id = #id#,假设id的值为12,其中如果数据库字段id为字符型,那么#id#表示的就是'12',如果id为整型,那么#id#就是 12
??? 会转化为jdbc的select * from tablename where id=?,把?参数设置为id的值
????select * from tablename where id = $id$,如果字段id为整型,Sql语句就不会出错,但是如果字段id为字符型,
????那么Sql语句应该写成 select * from table where id = '$id$'
????
3、#方式能够很大程度防止sql注入.
4、$方式无法方式sql注入.
5、$方式一般用于传入数据库对象.例如传入表名.
6、所以ibatis用#比$好,一般能用#的就别用$.
另外,使用##可以指定参数对应数据库的类型
如:
select * from tablename where id =#id:number#?
在做in,like 操作时候要特别注意
mysql: select * from user where user_name like concat('%',#name#,'%')oracle: select * from user where user_name like '%'||#name#||'%'sql server: select * from user where user_name like '%'+#name#+'%'
--------------------------------------------------------------------------------------
昨天一个项目中在写ibatis中的sql语句时,order by #field#, 运行时总是报错,后来上网查了查,才知道这里不该用#,而应该用$,随即查了下#与$的区别.
总结如下:
1.#是把传入的数据当作字符串,如#field#传入的是id,则sql语句生成是这样,order by "id",这当然会报错..
2.$传入的数据直接生成在sql里,如#field#传入的是id,则sql语句生成是这样,order by id, 这就对了.
3.#方式能够很大程度防止sql注入.
4.$方式无法方式sql注入.
5.$方式一般用于传入数据库对象.例如传入表名.
6.一般能用#的就别用$.
就这么多了.