一般在Ibatis的SQL部分,会使用如#id#,$id$这样的格式,例如:
select max(id) from PATODOItems where logonName=#logonName# and
taskUrl like '%$taskUrl$%' and status = 0 ,##中的变量解析之后会被‘’(英文单引号)括起来,作为一个String;
$$中的变量会直接解析;
#可以进行预编译,进行类型匹配,#变量名# 会转化为 jdbc 的 类型 如:select * from a表 where id=#id# 假设id=1,其中数据库字段为字符型,那么#id#就是'1',如果数据库中为整型,那么就是#id#=1;如select *from a where id=#id#,如果id为整型是不会报错,如果为字符型,那么条件应改为where id=‘#id#’
$不进行数据类型匹配,$变量名$就直接把 $name$替换为 name的内容 #方式能够很大程度防止sql注入.
$方式无法防止sql注入.
$方式一般用于传入数据库对象.例如传入表名.
所以ibatis用#比$好,一般能用#的就别用$.
另外,使用##可以指定参数对应数据库的类型
如: select * from a where id = #id:number#