Mybatis.XML in查询传入字符串参数问题写法

Mybatis.XML in查询传入字符串参数问题写法

今天使用 mybatis.xml遇到一个sql查询的问题，在这里记录一下：
情景：

<!--获取推送用户类型的用户列表-->
<select id="getUsers"  parameterType="java.lang.String"    resultType="com.lemenpan.demo.entity.User">
    select  *
    from user u
    where
    u.uid in (#{userId})
    order by u.uid limit 10
</select>

当时结果只显示了一个出来，而预期结果应该是10个才对。仔细查看了日志：
确实有正确传入参数，怎么返回结果就一个呢？
经过一番查询资料，最后整理如下：

当参数采用：#{} ： 解析为一个 JDBC 预编译语句（prepared statement）的参数标记符，一个 #{ } 被解析为一个参数占位符 。${}: 仅仅为一个纯碎的 string 替换，在动态 SQL 解析阶段将会进行变量替换。

也就是说我们实际的sql语句变成了类似：

select * from t_user where uid in ('1,2,4,56,8,98')

此时自然不是我们想要的查询结果，修改sql语句为：in (${param})

select *  from user u
        WHERE
        u.uid in (${param})
        order by u.uid

这样就可以正确查询到我们想要的数据了

• 缺点预知：

#传入参数可以预防sql注入攻击，而$不行，这是缺点所在，非必须情况下，还请尽量使用#预编译的形式传入参数