Mybatis中的#{}和${}区别

昨天在项目开发过程中，遇到一个问题，Mybatis绑定变量时，一个ID没有被加上单引号，导致程序报错，最后是发现本该使用#{}的，错用成了${}。所以今天记录一下，算是回顾一下知识点了。

使用场景分析

• #{}
  1、采用预编译的方式进行传值，使用？ 作为占位符，可以有效的防止sql注入问题。样例如下：

==> Preparing:select count(1) from tb_customer_browse_merchant a where a.merchant_id=?
==>Parameters: 42585871092941719a46bfee5f9c0d1e(String)
<==      Total: 1

第一句就是预编译语句，将绑定的参数进行传值查询，最后的效果和下面的sql一样(注意：自动加上了单引号)：

select count(1) from tb_customer_browse_merchant a where a.merchant_id='42585871092941719a46bfee5f9c0d1e'

2、会自动识别参数的类型，正确的赋值到预编译语句中，如上sql，传入的参数是String类型，则在进行拼接sql语句的时候，会自动单引号。

• ${}
  1、${}不会对参数的类型进行处理，直接进行替换展示，并且参与SQL的预编译语句，所以，不能够防止SQL注入。贴一下我昨天遇到的问题，部分代码如下：

<if test="companyIdList != null and companyIdList.size>0">
            AND a.company_id in
            (<foreach collection="companyIdList" item="item"  separator=",">
            ${item}
        	</foreach>)

这里面就是错用了$,导致in语句里面都是数字，而不是id字符串。2、${}可以动态的传入表名或者列名，动态的指定查询表或者灵活的使用列名,比如：

order by ${order_by} DESC

如上代码，就可以根据业务需求，灵活的对结果集进行排序，这也是主要的一个应用场景。当然缺点肯定也还是存在sql注入的风险。

总结

• #{}可以很大程度上防止sql注入的问题，并且能够自动转换参数类型
• ${}一般用于传输不须变化的值，可以传表名或者列名，或者数字等
• 能尽量使用#{}的就不要使用${}

参考：
Mybatis中的 ${} 和 #{}区别与用法

mybatis 中 #{} 和 ${} 的区别及应用场景