mybatis中的占位符${ }和#{ }

数据库的查询条件，今天在实战的时候看到mybatis中的代码 如下：

<if test="query.processGroupName != null and query.processGroupName != ''">
    AND ( processGroup.processGroupName LIKE concat(CONCAT('%', #{query.processGroupName}),'%')
    OR  processGroup.INSPECTOR LIKE concat(CONCAT('%', #{query.processGroupName}),'%'))
</if>

上文加粗代码 涉及到了占位符#{ }，经过学习做一个对${ }和#{ }的区分，以及上述代码的其他实现形式

首先，加粗代码翻译成sql是： processGroup.INSPECTOR  LIKE %query.processGroupName%,

#{ }占位符可以更好的保证安全 防止sql注入攻击，因为#{ }会进行转义

sql注入攻击，通过url输入，企图写入sql语句。例如登录的时候url中加入password=123 OR ‘1’=‘1’ 如果此时用的是${ }就会直接嵌入sql语句，始终为真值

上述的语句也可以改为  processGroup.INSPECTOR LIKE ${%query.processGroupName%}

但是可能会遭到sql注入攻击，${ }中的是直接嵌入

也可以改为 % || query.processGroupName || %拼接，不用contact 这是sql的语法

【注】如果用+的话 数字会直接相加 select ‘1’+‘1‘+’1‘  就是select 3  不是拼接！ select ‘1’+‘1‘+’1a‘ 出现英文会报错