MyBatis #与$的区别以及动态SQL

最新推荐文章于 2024-06-15 20:21:51 发布
最新推荐文章于 2024-06-15 20:21:51 发布
阅读量638 收藏 15
点赞数 32
文章标签： mybatis sql 数据库
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qiuqiushuibx/article/details/137296667
版权

#与$的区别

我们在进行mybatis访问数据库的时候

经常会使用参数传递,这个时候就需要#或者$进行引用

那么这两个引用符号到底都是在什么时候使用呢?

我们先说相同点再说不同点

首先我们说区别,再实验

$符号:

使用这个sql主要是即时sql

即时SQL的访问程序主要是

语义分析  >      SQL解析     >    SQL优化     >    SQL编译   >    SQL执行

我们才能够肉眼看出来的就是其是直接替换占位符

假设使用string类型就会产生错误,因为是直接替换拼接,所以可能会导致sql注入的风险

使用string类型会导致失败是因为,直接替换而不是使用''包住,会导致BadSQL错误

比如

#符号:

这里主要是预编译SQL

相比即时SQL来说是有缓存的,相对来说性能更高

也会在替换占位符的时候携带类型插入等等

这里也可以防止SQL注入问题

我们使用#就可以完成任务

sql注入是什么?

sql注入就是当web应用向后台数据库传递SQL语句进行数据库操作时，如果对用户输入的参数没有经过严格的过滤处理，那么攻击者就可以构造特殊的SQL语句，直接输入数据库引擎执行，获取或修改数据库中的数据。

假设我们指向查询id为1的数据  

但是这时候我们被输入了 ' or 1 = '1

这时候使用$就会直接返回数据库里面的所有数据

类似于select * 的 操作

我们发现我们请求的内容和响应的内容并不相关

这可能导致黑客可以很轻易的查询出数据库中的内容

使用$的SQL注入解决方式

我们可以用无参接口代替代替传参(遍历所有需要的参数,将参数写死)

或者在查询之前加一层检验参数的合法性

但是$的使用也不是一无是处的,下面我们谈谈$的优点

假设这里我们需要进行一次查询并进行升序或者降序排列

这个时候使用$拼接就是符合要求的,这里的#就无法解决问题了

因为这里是不需要加上引号的,而使用#会默认进行加入引号的操作

但是为了防止SQL注入的问题

我们可以写一个升序和降序两个接口来代替传递参数的代码

模糊查询

MySQL中也存在like模糊查询  

那么这里的模糊查询使用的是#还是$呢,我们用什么方式解决呢

话不多说,上测试

使用$轻松解决问题

使用#解决问题

为了防止sql注入,我们使用mysql内置的函数concat来解决问题

MySQL开发规范(常用)

对于表中的字段使用_连接

两个_之间不可以只有数字

_不可以作为开头

字段名一定要使用小写字母

表必备三个字段,即使表可能只有一列数据,也得加上id 创建时间  更新时间

动态SQL

对于不同的场景,我们对输入的参数也是有要求的

比如我们平常在淘宝进行筛选商品的时候

可以选择筛选条件,筛选条件可以有,也可以没有

上面我们写的这些SQL语句就是定死了的SQL

下面我们进行动态SQL的学习

以上是一个示例,下面我开始介绍平常的动态sql问题以及常见错误

首先我们说说navicat中如何修改表的约束

以上是当前表的约束选项

我们尝试实现

一个接口实现这里的前两条SQL

注意这里大部分的不设置的值都有默认值,不一定是null

这里引入xml中的if标签,本质上是字符串的拼接,根据java中有没有设置这个字段来确定是否拼接上去

我们来实现这个功能

if标签

此时我们已经初步实现了动态sql的编写

下面我们将所有参数都设置为可选填项

我们就会发现单单使用if语句会很难控制前面后面的逗号问题

比如insert into table1 values( ? ,?)

假设我们这里的第一个参数为空很容易就导致了badSQL问题

这里我们就可以引入第二个标签了

<trim>标签  

学过java的都知道这个函数可以去除String的前后空格

但是这里,这个标签主要是处理前后缀的问题的

于是我们可以写出这样的代码

trim标签一共存在四个参数

prefix 表示前缀

prefixOverrides 表示整个语句块需要删除的前缀

suffix    表示后缀

suffixOverrides 表示整个语句块的后缀

这样就可以实现任意可选类型的参数是否输入的动态sql 了

下面我们来实现加入where筛选条件

我们也可以继续使用字符串的拼接来解决问题

where标签

但是我建议使用where标签来解决问题,更加省时省力

这里就筛选出来了name和password都为laoda的用户

set标签

下面再介绍一个set标签,在update语句中使用

此时我们发现已经修改成功了

秋秋睡不醒
关注
  • 32
    点赞
  • 踩
  • 15
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
Mybatis中的$和#
sillyyyy的博客
05-08 2498
在SQL语句执行时，Mybatis会将$占位符替换为对应的参数值，并将SQL语句发送到数据库执行。使用$占位符可以在某些情况下提高SQL语句的性能，因为在预编译时不需要处理参数占位符。#用于预编译，表示参数占位符，例如：#{username}。在SQL语句执行时，Mybatis会将占位符替换为对应的参数值，并将SQL语句发送到数据库执行。使用#占位符可以有效地防止SQL注入攻击，因为Mybatis会将参数值转义后再替换占位符。使用哪种占位符取决于具体的需求，如果需要防止SQL注入攻击，则应该使用#占位符；
Mybatis中sql语句的#号和$号的区别
m0_46672151的博客
03-20 1231
1、#{变量名} #{变量名}可以进行预编译、类型匹配等操作，#{变量名}会转化为jdbc的类型。 select * from tableName where id = #{id} 假设id的值为12，其中如果数据库字段id为字符型，那么#{id}表示的是‘12’；如果是整型，则id的值为12; 并且Mybatis会将上面SQL语句转化为jdbc的 select * from tableName where id =?，把？参数值设置为id的值。 这种方式使得sql语句是经过预编译的，它是把#{}中间的
mybatis中#和$在使用上有哪些区别
hefk688的博客
09-08 4140
mybatis中#和$的区别是什么 1、传入的参数在SQL中显示不同 #传入的参数在SQL中显示为字符串（当成一个字符串），会对自动传入的数据加一个双引号。 例：使用以下SQL select id,name,age from student where id =#{id} 当我们传递的参数id为 "1" 时，上述 sql 的解析为： select id,name,age from student where id ="1" $传入的参数在SqL中直接显示为传入的值 例：使用以下SQL select id,n
mybatis中#{}和${}的区别
weixin_34149796的博客
08-17 2459
1. #将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：order by #user_id#，如果传入的值是111,那么解析成sql时的值为order by "111", 如果传入的值是id，则解析成的sql为order by "id".　　2. $将传入的数据直接显示生成在sql中。如：order by $user_id$，如果传入的值是111,那么解析成sql时的值为orde...
《深入理解mybatis原理(十二)》 mybatis深入理解之#与$区别
pfnie的博客
11-19 1万+
一、介绍       mybatis 中使用 Mapper.xml里面的配置进行 sql 查询，经常需要动态传递参数，例如我们需要根据用户的姓名来筛选用户时，sql 如下： select * from user where name = "Jack";上述 sql 中，我们希望 name 后的参数 "Jack" 是动态可变的，即不同的时刻根据不同的姓名来查询用户。在 Ma
Mybatis下动态sql中##和$$的区别讲解
08-26
今天小编就为大家分享一篇关于Mybatis下动态sql中##和$$的区别讲解，小编觉得内容挺不错的，现在分享给大家，具有很好的参考价值，需要的朋友一起跟随小编来看看吧
浅谈mybatis中的#和$的区别 以及防止sql注入的方法
09-01
下面小编就为大家带来一篇浅谈mybatis中的#和$的区别 以及防止sql注入的方法。小编觉得挺不错的，现在就分享给大家，也给大家做个参考。一起跟随小编过来看看吧
什么是mybatis动态sql以及学习mybatis动态sql的意义
04-28
mybatis动态sql
mybatis动态sqlmybatis动态sqlmybatis动态sql
04-28
mybatis动态sql MyBatis是一种开源的持久层框架，它为Java程序员提供了一种简化数据库访问的方式。其中，动态SQL是MyBatis的一个重要特性，它允许用户根据不同的条件拼接SQL语句，从而实现更加灵活和可扩展的数据库...
MyBatis中#号与美元符号的区别
08-31
#{变量名}可以进行预编译、类型匹配等操作，#{变量名}会转化为jdbc的类型。很多朋友不清楚在mybatis中#号与美元符号的不同，接下来通过本文给大家介绍两者的区别，感兴趣的朋友参考下吧
sql中#和$的区别
赏樱看雪撸代码
10-16 2253
#{}在预编译的过程中会自动用一个占位符？代替变量**【预编译处理】** select * from user where name = ?; ${}在sql处理的过程中只是简单的字符串替换**【字符串替换】** select * from user where name = 'test'; #{} 的参数替换是发生在 DBMS 中，而 KaTeX parse error: Expected ...
mybatis SQL注入之$和#的区别
mengtianqq的博客
03-27 4352
mybatis SQL注入之$和# 目录 mybatis SQL注入之$和# 一、在sql语句中，#可以防止被注入，$可以动态插入列名或者表名。 二、动态插入列名或表名的方便， 一、在sql语句中，#可以防止被注入，$可以动态插入列名或者表名。 1.在sql中#{}是传参数的方式插入值，#{value}碧不参与bybatis的代码编译，是实际上#{value}就是自动帮我们加了双引...
Mybatis中的#和$的区别
热门推荐
qq_27811247的博客
06-22 4万+
在学校的时候，想必大家肯定听老师讲过，在mybatis中，配置参数要用#，不要用$符号。因为$不安全，容易被sql注入。讲是这么讲，但是如何注入的，大家一起来看看吧。 一：下面我们写个关于“#”的个sql，看能不能注入。 <select id="selectUser" resultMap="BaseResultMap"> SELECT ...
MyBatis动态sql之${}和#{}区别
hqing159的博客
11-16 3927
前言​ 接触mybatis也是在今年步入社会之后，想想也半年多了，缺没时间去系统的学习，只知道大概，也是惭愧。​ 不知道有多少刚毕业的同学和我一样，到现在还没仔仔细细去了解你每天都会见到使用到的框架呢？​ 什么？你也不知道mybatis动态sql中${}和#{}的差异？其实我也是今天才知道的，我们一起来学习一下吧。正文不够刺激，再增加一点前戏​ 在mybatis中，使用sql查询时，
mybatis中的sql语句中#{}和${}的区别
蓝关故人
03-17 2984
先直接说用法：    一般参数传递用#{}，在sql相当于占位符,sql执行时参数带引号“”    在进行group by 或order by 的时候，使用${},sql执行的时候不带引号原则：能用#的地方不要用$,避免sql注入，安全列个例子供参考：    1. #将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：order by #user_id#，如果传入的值是111,那么解...
mybatis学习笔记(5):Mapper XML中参数接收#{}和${}的区别
YellowStar的博客
06-30 2870
　动态 sql 是 mybatis 的主要特性之一，在 mapper 中定义的参数传到 xml 中之后，在查询之前 mybatis 会对其进行动态解析。mybatis 为我们提供了两种支持动态 sql 的语法：#{} 以及 ${}。 在下面的语句中，如果 username 的值为 zhangsan，则两种方式无任何区别： select * from user where name = #{na...
Mybatis中的#与$符号区别及用法介绍
潘小蓝的博客
09-23 3736
一、介绍 mybatis 中使用 Mapper.xml里面的配置进行 sql 查询，经常需要动态传递参数，例如我们需要根据用户的姓名来筛选用户时，sql 如下： select * from user where name = "Jack"; 上述 sql 中，我们希望 name 后的参数 “Jack” 是动态可变的，即不同的时刻根据不同的姓名来查询用户。在 Mapper.xml文件中使用如下的 sql 可以实现动态传递参数 name： select * from user where nam
【AI+编程】工作日常场景随时可以AI编程，记一个问答SQL快速导出数据日常示例
最新发布
月晓风清
06-15 296
为了实现你需要的操作，即以问题名称作为表头，答案作为内容导出，你可以通过JOIN操作连接三个表，然后利用动态SQL语句进行行转列转换（PIVOT）。然后通过执行这个动态生成的SQL，你可以得到一个表格，表中的每一行表示一个成员，对应每个问题的答案作为列数据。然后，在动态生成的SQL语句中利用JOIN把db_member、db_question和db_answer连接起来，并根据question_id和member_id进行匹配，以输出每个成员对应的问题答案。下面是假定表结构，实际场景和它类似。
MyBatis #与$的区别
03-31
它将Java对象映射到数据库表中的行，并提供了一种使用XML或注解来编写可重用SQL语句的方法。MyBatis还提供了许多高级功能，如延迟加载、缓存和高级查询。它是许多Java应用程序中最受欢迎的持久化框架之一。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值