问题
sql语句可以使用 #{} 或 ${}进行传参,那么他们有什么区别,使用上有什么需要注意的地方呢?
解决
在预编译中的处理是不一样的。#{} 在预处理时,会把参数部分用一个占位符 ? 代替,变成如下的 sql 语句:select * from a where name = ?;
而 ${} 则只是简单的字符串替换,在动态解析阶段,该 sql 语句会被解析成:select * from a where name = 'zhangsan';
实际使用
优先使用 #{}。因为 ${} 可能会导致 sql 注入的问题。
但也有必须使用${}的情况,比如
- 传入表名
SELECT *
FROM ${tableName}
-
传入查询条件
SELECT *
FROM ${tableName}
WHERE ${sql}