高级java每日一道面试题-2024年9月04日-框架篇(Mybatis篇)-mybatis中的#{}和${}的区别是什么?

如果有遗漏,评论区告诉我进行补充

面试官: mybatis中的#{}和${}的区别是什么?

我回答:

在MyBatis中，#{} 和 ${} 是两种用于参数替换的占位符，它们在SQL语句中的使用方式和作用有所不同，主要体现在安全性、类型处理和预编译SQL语句的处理上。

1. #{}（预处理占位符）

• 安全性：#{} 使用了预处理（PreparedStatement）的方式，有效防止了SQL注入攻击。因为预处理语句在发送SQL语句到数据库之前，会将SQL语句中的参数替换成占位符（如?），然后在执行时再传入具体的参数值。这样，即使参数中包含SQL注入的恶意代码，也不会被数据库执行。MyBatis会将传入的参数值自动加上引号，如果是数字类型，则直接插入，如果是字符串类型，则加上单引号。

• 类型处理：MyBatis 会对#{}替换的参数进行必要的类型转换和转义处理，以确保参数的类型与数据库表中的列类型相匹配。

• 预编译SQL：使用#{}的SQL语句在数据库层面会被预编译，这意味着如果同一个SQL语句（仅仅是参数不同）被多次执行，数据库会重用之前的预编译结果，这有助于提高性能。

2. ${}（字符串替换）

• 安全性：${} 是简单的字符串替换，直接将参数值拼接到SQL语句中。这种方式容易受到SQL注入攻击，因为参数值会被直接解析为SQL语句的一部分。如果参数值中包含SQL语句的片段，那么这些片段将作为SQL语句的一部分被执行。

• 类型处理：${} 不会进行类型处理或转义处理，它仅仅是将参数值转换成字符串（如果参数不是字符串的话），然后直接拼接到SQL语句中。

• 预编译SQL：使用${}的SQL语句不使用预编译SQL，因为每次执行时SQL语句本身都可能不同（取决于参数值）。这可能导致性能下降，特别是在执行大量相似但参数不同的SQL语句时。

• 灵活性：使用${}可以提高SQL语句的灵活性，特别是在需要动态指定表名或列名的情况下。

选择使用哪个

#{} vs ${}

• 安全性：在安全性方面，#{}更为安全，因为它会自动转义特殊字符，防止SQL注入攻击。
• 性能：在性能方面，#{}优于${}，因为预编译SQL可以减少数据库的解析负担。
• 灵活性：在灵活性方面，${}比#{}更具优势，尤其是在需要动态生成SQL语句的部分（如表名、列名）。

使用场景示例

使用#{}的场景

• 当你需要传递一个参数到SQL语句中，并且这个参数是一个具体的值时，比如id、name等。
• 当你关心SQL注入安全时。

使用${}的场景

• 当你需要动态指定表名或列名时，比如根据用户的输入来决定查询哪个表。
• 当你确信传入的参数是安全的，并且不需要进行SQL注入防护时。

总结

在大多数情况下，推荐使用#{}来传递参数，因为它提供了更好的安全性和性能。然而，在某些特定情况下，如需要动态生成表名或列名时，$可能是必要的选择。无论如何，使用${}时务必注意SQL注入的风险，并采取适当的安全措施。