第一种情况没有区别
select * from user where name = #{name};
select * from user where name = ${name};
但是 #{} 和 ${} 在预编译中的处理是不一样的。#{} 在预处理时,会把参数部分用一个占位符 ? 代替,变成如下的 sql 语句:
select * from user where name = ?;
而 ${} 则只是简单的字符串替换,在动态解析阶段,该 sql 语句会被解析成
select * from user where name = 'zhangsan';
以上,#{} 的参数替换是发生在 DBMS 中,而 ${} 则发生在动态解析过程中。
那么,在使用过程中我们应该使用哪种方式呢?
答案是,优先使用 #{}。因为
会导致
s
q
l
注入的问题。当传入的值是字符串时,必须使用的的时
{} 会导致 sql 注入的问题。 当传入的值是字符串时,必须使用的的时
会导致sql注入的问题。当传入的值是字符串时,必须使用的的时才生效
当需要字符串不被处理时,比如需要动态传入不同的排序及分组字段,需要用到 ${} ,使用#{},会被自动解析成字符串值。