Mybatis获取参数值得两种方式:${}和#{}
${}的本质是字符串拼接,#{}的本质是占位符赋值
${}使用字符串拼接的方式拼接sql,若为字符串类型或日期类型的字段进行赋值时,需要手动加单引号;
#{}使用占位符赋值的方式拼接sql,此时为字符串类型或日期类型的字段赋值时,可以自动添加单引号;
1.配置sql输出日志
注意:要在配置文件的第一行进行配置
<!-- settings:控制mybatis的全局行为-->
<settings>
<!--设置mybatis输出日志-->
<!--logImpl:表示对日志的控制-->
<!--STDOUT_LOGGING:将日志输出到控制台上-->
<setting name="logImpl" value="STDOUT_LOGGING" />
</settings>
2.看#{}和${}的输出现象
首先先来看#{}的输出
<!--通过#进行查询-->
<select id="select" parameterType="java.lang.String" resultType="com.qcby.entity.User">
select * from user where username = #{username}
</select>
我们可以看到当前执行的sql语句的日志执行结果最后的条件值是用 ?代替。
其次来看${}的输出
<!--通过$进行查询-->
<select id="selectBy$" parameterType="java.lang.String" resultType="com.qcby.entity.User">
select * from user where username = ${value}
</select>
我们发现和上边用 #号不同,这次输出的sql 直接在上边拼接好了我们要查询的值,而且还出现了错误
我们将这条sql语句放入到mysql当中去执行,发现原因是我们sql语句在值上没有带单引号
所有我们需要重新编辑sql
从上边我们可以看出$使用的是字符串连接的方式,#使用的是占位符的方式
3.#{}:预编译
预编译可以类比java类的编译,java类被编译成class文件,载入虚拟机,载入虚拟机的字节码文件可以先被编译成机器吗, 那么在执行某行代码的时候就可以直接执行编译后的机器码,而不用从字节码开始编译再执行,那么执行效率就高了。 这也是为啥热机状态比冷机状态可以抗更多负载的原因。
sql的预编译也是一样的道理,在执行前就编译好,等执行时直接取编译结果去执行。省去编译时间。 sql预编译后会在参数位置用占位符表示。
预编译:数据库驱动在发送sql和参数到DBMS之前,先对sql语句进行编译处理,之后DBMS则可以直接对sql进行处理, 不需要再次编译,提高了性能。这一点mybatis 默认情况下,将对所有的 sql 进行预编译处理。
预编译可以将多个操作步骤合并成一个步骤,一般而言,越复杂的sql,编译程度也会复杂,难度大,耗时,费性能,而预编译可以合并这些操作,预编译之后DBMS可以省去编译直接运行sql。 预编译语句可以重复利用。
把一个 sql 预编译后产生的 PreparedStatement 对象缓存下来,下次对于同一个sql, 可以直接使用这个缓存的 PreparedState 对象。
4.sql注入
使用${}做字符串拼接的方式并不安全,可能存在sql注入问题
比如我们要做如下查询
select * from user where username = ${username};
但是如果我们的传参是: "张三 or username = 李四"
这种通过传参就能改变SQL语句原本规则的操作就是SQL注入,这个在实际生产中当然是危险的,攻击者可以把SQL命令插入到Web表单的输入域或页面请求的查询字符串中,欺骗服务器执行恶意的SQL命令。
以上的情况就属于sql注入攻击。
5.什么时候使用${}
$:可以替换表名或者列名,你能确定数据是安全的,可以使用$
6.如何选择使用 #{} 和 ${}
1.能用 #{} 的地方就用 #{},尽量少用 ${}
2.表名作参数,或者order by 排序时用 ${}
3.传参时参数使用@Param("")注解,@Param注解的作用是给参数命名,参数命名后就能根据名字得到参数值(相当于又加了一层密), 正确的将参数传入sql语句中(一般通过#{}的方式,${}会有sql注入的问题)