MyBatis中#{}和${}的区别

💖The Begin💖点点关注，收藏不迷路💖

在MyBatis这个强大的持久层框架中，#{}和${}是两种常见的参数替换方式，它们在SQL语句中的使用方式截然不同，并各自具有特定的应用场景和优缺点。

一、#{}：预编译处理

1. 工作原理

在使用#{}时，MyBatis会将SQL语句中的#{}部分替换为一个问号（?），然后通过PreparedStatement的set方法来为这些问号赋值。这种方式是JDBC预编译机制的一种应用，也是MyBatis默认推荐的参数替换方式。

2. 优点

• 防止SQL注入：由于使用了预编译机制，#{}方式可以有效防止SQL注入攻击。
• 性能优化：数据库会对预编译的SQL语句进行缓存，从而提高执行效率。

3. 缺点

• 动态SQL限制：在某些需要动态构建SQL语句的场景下，#{}可能不够灵活。

二、${}：字符串替换

1. 工作原理

与#{}不同，${}在MyBatis中直接进行字符串替换，即将${}内的变量值直接拼接到SQL语句中。这种方式类似于传统的字符串拼接，但它是在MyBatis的解析过程中完成的。

2. 优点

• 灵活性高：${}允许开发者直接将变量值拼接到SQL语句中，便于构建动态SQL。

3. 缺点

• SQL注入风险：如果变量值来自用户输入，存在SQL注入的风险。
• 性能影响：非预编译的SQL可能无法被数据库缓存，影响性能。

三、最佳实践

• 优先使用#{}：在大多数情况下，应优先使用#{}来替换SQL语句中的参数。
• 谨慎使用${}：在确实需要动态构建SQL语句（如表名、列名等）时，才考虑使用${}，并确保变量值的安全性。
• 避免拼接SQL：利用MyBatis提供的动态SQL功能（如<if>、<choose>等标签）来构建复杂的SQL语句，避免直接在代码中拼接SQL。

💖The End💖点点关注，收藏不迷路💖