项目实训记录（十三）——mybatis中将数据库表名当作参数

目录

一、做了什么？

二、问题与解决方法

1.问题

2.mybatis中#和$的区别

2.1 主要区别

2.2 具体解释

3.解决方法

总结

---

一、做了什么？

清理工作

     在管理员端添加管理表是否允许去重功能。可以进行编辑。编辑时，如果由不允许重复改为允许重复，则不变；如果由允许重复改为不允许重复，则调用数据去重方法。
任务分析

        因为之前前端都已经写好了，在写后端update表方法时除了一些问题。发现SQL语句出错。原因是传入表名做参数时，使用了#{chartname}。

        之前在进行后端方法书写时，将数据库表名或列名当作参数也遇到类似的问题。所以这里整理一下mybatis中#和$的区别。

二、问题与解决方法

1.问题

问题代码：

<update id="updateChartSame" parameterType="com.example.server.domain.Chart">
    update #{ChartName} set CSame=#{SAME} where id=#{ChartID};
</update>

会出错，因为在进行SQL解析时，ChartName加了引号，导致出错

2.mybatis中#和$的区别

2.1 主要区别

#传入的参数在SQL中显示为字符串，$传入的参数在SqL中直接显示为传入的值.

#方式能够很大程度防止sql注入，$方式无法防止Sql注入；

2.2 具体解释

1、传入的参数在SQL中显示不同

SQL中使用#{}：

select id,name,age from #{student} where id = 1

SQL中使用#{}，当传递参数student 为"student " 时解析为：

select id,name,age from “student” where id = 1 

SQL中使用${}：

select id,name,age from ${student} where id = 1

SQL中使用${}，当传递参数id =为1时解析为：

select id,name,age from student where id =1

2.#可以防止SQL注入的风险（语句的拼接）；但$无法防止Sql注入。

3.$方式一般用于传入数据库对象，例如传入表名。

4.大多数情况下还是经常使用#，一般能用#的就别用$；但有些情况下必须使用$，例：MyBatis排序时使用order by 动态参数时需要注意，用$而不是#。

3.解决方法

正确代码：

<update id="updateChartSame" parameterType="com.example.server.domain.Chart">
        update ${ChartName} set CSame=#{SAME} where id=#{ChartID};
</update>

---

总结

本文仅仅简单介绍了mybatis中#和$的区别。