对于#{}和${}的区别,需要了解什么是预编译,下面是关于sql预编译的概念
一、sql预编译
1.定义:
sql 预编译指的是数据库驱动在发送 sql 语句和参数给 DBMS 之前对 sql 语句进行编译,这样 DBMS 执行 sql 时,就不需要重新编译。
2. 预编译的有点:
(1)效率性:预编译可以尽可能的提高访问数据库的性能,我们都知道数据库在处理SQL语句时都有一个预编译的过程,而预编译对象就是把一些格式固定的SQL编译后,存放在内存池中即数据库缓冲池,当我们再次执行相同的SQL语句时就不需要预编译的过程了,只需DBMS运行SQL语句。所以当你需要执行拼接语句多次的时候,预编译语句将会大大降低运行时间,特别是的大型的数据库中,它可以有效的也加快了访问数据库的速度。
(2)预编译语句提高了代码的可读性和安全性。
二、区别:
Mybatis 的Mapper.xml语句中parameterType向SQL语句传参有两种方式:#{}和${}1.#{}:
#{}这种方式SQL语句是经过预编译的,可以防止SQL注入,安全性高,它是把#{}中间的参数转义成字符串,如:
INSERT INTO student(ID,account,password,truename)
VALUES(#{id},#{account},#{password},#{truename})
预编译后,会动态的解释成一个参数标记符"?",整个代码变成如下代码:
INSERT INTO student(ID,account,password,truename)
VALUES(?,?,?,?)
2.${}:
${}相当于拼接符,不安全,不可以防止注入,使用${}在动态解释的时候,会传递参数字符串,如以下代码
INSERT INTO student(ID,account,password,truename)
VALUES(${id},'${account}','${password}','${truename}'
如果id为123,account为zhangsan,password为123456,truename为张三,那么它相当于
INSERT INTO student(ID,account,password,truename)
VALUES(123,'zhangsan','123456','张三'
综上所述,${ } 变量的替换阶段是在动态 SQL 解析阶段,而 #{ }变量的替换是在 DBMS 中。
这是 #{} 和 ${} 我们能看到的主要的区别,除此之外,还有以下区别:
- #方式能够很大程度防止sql注入。
- $方式无法防止Sql注入。
- $方式一般用于传入数据库对象,例如传入表名.
- 一般能用#的就别用$.