Mybatis中#和$的区别

版权声明:本文为博主原创文章,未经博主允许不得转载。 https://blog.csdn.net/u013399093/article/details/54095274

首先通过下面两条sql及打印的执行sql,清楚明了的看一下它们的区别:

<select id="selectUserInfo" parameterType="java.util.Map" resultType="java.util.Map">
    select 
        *
    from 
        user 
    where 
        userId=${id} password=#{pwd} 
</select>

假设入参传入的是1,打印执行sql如下:
Preparing:select * from user where id=1 and password=111111

<select id="selectUserInfo" parameterType="java.util.Map" resultType="java.util.Map">
    select 
        * 
    from 
        user 
    where 
        userId=#{id} and password=#{pwd}
</select>

同样入参传入1,打印的执行sql如下:
Preparing:select * from user where id=? and password=?
Parameters:1(String),111111(String)

MyBatis启用了预编译功能,在SQL执行前,会先将上面的SQL发送给数据库进行编译;执行时,如果入参为#{}格式的,将入参替换编译好的sql中的占位符“?”;如果入参格式为${},则直接使用编译好的SQL就可以了。因为SQL注入只能对编译过程起作用,所以使用#{}入参的方式可以很好地避免了SQL注入的问题。

mybatis预编译底层实现原理
MyBatis是如何做到SQL预编译的呢?其实在框架底层,是JDBC中的PreparedStatement类在起作用,PreparedStatement是我们很熟悉的Statement的子类,它的对象包含了编译好的SQL语句。这种“准备好”的方式不仅能提高安全性,而且在多次执行同一个SQL时,能够提高效率。原因是SQL已编译好,再次执行时无需再编译。

总结
#{}:相当于JDBC中的PreparedStatement
${}:是输出变量的值
简单说,#{}是经过预编译的,是安全的;${}是未经过预编译的,仅仅是取变量的值,是非安全的,存在SQL注入。

番外(sql注入)
还是以上面的两条sql为例,入参id的值传入“1 or userId=2”,入参pwd的值传入“111111”。以#{}格式传入入参后的执行sql:
select * from user where userId=”1 or userId=2” and password = “111111”;
以${}格式传入入参后的执行sql:
select * from user where userId=1 or userId=2 and password = 111111;

很显然,${}格式传入入参后的执行sql打乱了我们的预期sql格式及查询条件,从而实现sql注入。所以,除了order by 等需要传入数据库字段等的入参使用${},其他的尽量使用#{}

展开阅读全文

没有更多推荐了,返回首页