Mybatis基础知识

一、Mybatis防止sql注入的原理

1、#{} 与 ${}

• ${}是 Properties 文件中的变量占位符，它可以用于标签属性值和 sql 内部，属于静态文本替换，比如${driver}会被静态替换为com.mysql.jdbc.Driver。
• #{}是 sql 的参数占位符，MyBatis 会将 sql 中的#{}替换为?号，在 sql 执行前会使用 PreparedStatement 的参数设置方法，按序给 sql 的?号占位符设置参数值。

#{}使用了PreparedStatement来进行预处理，然后通过set的方式对占位符进行设置，而$则是通过Statement直接进行查询，当有参数时直接拼接进行查询。

2、#{}原理

MyBatis启用了预编译功能，在SQL执行前，会先将上面的SQL发送给数据库进行编译；执行时，直接使用编译好的SQL，替换占位符“?”就可以了。因为SQL注入只能对编译过程起作用，所以这样的方式就很好地避免了SQL注入的问题。

PreparedStatement的set方法输出的SQL是把整个参数用引号包起来，并把参数中的引号进行转义处理，从而避免了参数也作为条件的一部分

PreparedStatement是如何防止SQL注入的？