Mybatis 中$与#的区别,预防SQL注入

2019独角兽企业重金招聘Python工程师标准>>>

一直没注意Mybatis 中$与#的区别，当然也是更习惯使用#,没想到避免了SQL注入，但是由于要处理项目中安全渗透的问题，不可避免的又遇到了这个问题，特此记录一下。

首先是共同点：

 在mybatis中的$与#都是在sql中动态的传入参数。

select id,name,age from user where name=#{name}

这个name是动态的，可变的，当传入什么样的值，就会根据你传入的值执行sql语句。

其次是两者的区别：

1 #是将传入的值当做字符串的形式

select id,name,age from user where id =#{id},
//当前端把id值1，传入到后台的时候，就相当于
select id,name,age from user where id ='1'.

 2 $是将传入的数据直接显示生成sql语句

select id,name,age from user where id =#{id},
//当前端把id值1，传入到后台的时候，就相当于
select id,name,age from user where id =1.

$是将传入的数据直接显示生成sql语句，这样就容易造成SQL注入。

转载于:https://my.oschina.net/u/3822522/blog/2877557