MyBatis获取参数值的两种方式与常见的查询情况

---

一、MyBatis获取参数值的两种方式

MyBatis获取参数值的两种方式有两种分别是：${}和#{}
${}的本质就是字符串拼接，#{}的本质就是占位符赋值

${}使用字符串拼接的方式拼接sql 需要手动加单引号
字符串拼接
例如：

       rs=st.executeQuery("select * from tb_user where name='"+name+"'");

当有人恶意在业务端输入一些特别的代码如“1234 OR TRUE”，那么sql语句就会变成“UPDATE users SET userpass= ‘123456’ WHERE user_id=1234 OR TRUE;”如果执行以上语句，将更改所有用户的密码。这就是我们常说的sql注入

#{}使用占位符赋值的方式拼接sql 会自动加单引号
占位符赋值
例如

 con.prepareStatement("INSERT INTO `user` (`user_name`, `user_password`) VALUES 
 (?,?);");

但在使用占位符赋值时，无论传入什么样的字符串都会被当成一个变量，能很好的避免sql注入

二、多种情况

1.多个字面量类型的参数

若mapper接口中的方法参数为多个时此时MyBatis会自动将这些参数放在一个map集合中，以arg0,arg1…为键，以参数为值；以param1,param2…为键，以参数为值；因此只需要通过${}和#{}访问map集合的键就可以获取相对应的值。

 <select id="chekLogin" resultType="com.atguigu.mybatis.pojo.User">
        select  * from t_user where username=#{arg0} and password=#{arg1}
 </select>

这里的chekLogin方法的参数就有两个为username与password这时通过arg0,arg1或者是
param1,param2都是可以获取参数的值的

但是我们讲究望文生义，这时我们就可以通过**@Param注解**手动设置名字
例如

 User checkLoginByParam(@Param("username") String username, @Param("password`")String password);

<select id="checkLoginByParam" resultType="com.atguigu.mybatis.pojo.User">
        select * from t_user where username=#{username} and password=#{password}
</select>

这时就可以通过设置的参数名来访问

2.查询多条数据为map集合

我们可以将表中的数据以map集合的方式查询，一条数据对应一个map；若有多条数据，就会产生多个map集合，此时可以将这些map放在一个list集合中获取

List<Map<String, Object>> getAllUserToMap();

<select id="getAllUserToMap" resultType="map">
   select * from t_user
</select>

3.特殊sql的执行

1.模糊查询

List<User> testMohu(@Param("mohu") String mohu);

<select id="testMohu" resultType="User">
三种方式可以实现模糊查询
<!--select * from t_user where username like '%${mohu}%'-->
<!--select * from t_user where username like concat('%',#{mohu},'%')-->
select * from t_user where username like "%"#{mohu}"%"
</select>

2.批量删除

int deleteMore(@Param("ids") String ids);

下列代码采用了字符串拼接的方式 ids为一个字符串为删除的条件

<delete id="deleteMore">
delete from t_user where id in (${ids})
</delete>