16 MyBatis

Mybatis和Hibernate区别：

   Mybatis用Sql语句得到对象

  Hibernate通过对象获取sql

SQL注入：

or 1=1  web安全范畴

username='  OR 1=1 --  或者username or 1='1

因为--表示SQL注释，因此后面语句忽略；

因为1=1恒成立，因此 username='' OR 1=1  恒成立，因此SQL语句等同于：

sql注入解决办法

第一步：编译sql 

第二步：执行sql

优点：能预编译sql语句

        String username = "username='  OR 1=1 -- ";
		String password = "12345";
		// String sql = "SELECT id,username FROM user_table WHERE " +
		// "username='" + username + "'AND " + "password='"
		// + password + "'";
		String sql = "SELECT id,username FROM user_table WHERE username=? AND password=?";
		Class.forName("com.mysql.jdbc.Driver");
		Connection con = DriverManager.getConnection("jdbc:mysql://localhost:3306/test", "root", "root");
		PreparedStatement stat = con.prepareStatement(sql);
		stat.setString(1, username);
		stat.setString(2, password);
		System.out.println(stat.toString());
		ResultSet rs = stat.executeQuery();
		while (rs.next()) {
			String id = rs.getString(1);
			String name = rs.getString(2);
			System.out.println("id:" + id + "---name:" + name);
		}

 mybatis中#与$区别

优先使用 #{}。因为 ${} 会导致 sql 注入的问题，sql拼接