各位,问个mybatis的问题。mapper配置文件里,一般传参用#{ }
那${ }什么情况下使用呢?
北京-小丑) 17:40:32
会有sql注入的风险?
深-谢同学17:40:36
$号少用吧。
北京-我是谁 17:40:43
#{}是参数化sql
杭州-梅小西17:41:03
为什么少用啊
杭州-梅小西17:41:09
会有注入风险?
北京-蓝冰(151702314) 17:41:17
奥。
北京-大飞(17:41:25
比如我order by t.name 干嘛写成 ${t.name} ?
深-谢同学 17:41:30
如果是可以用户输入的,可能会有SQL注入呀。
记得在华为的时候,他们会扫描代码,发现$符号的都会发警告。
那${ }什么情况下使用呢?
北京-小丑) 17:40:32
会有sql注入的风险?
深-谢同学17:40:36
$号少用吧。
北京-我是谁 17:40:43
#{}是参数化sql
杭州-梅小西17:41:03
为什么少用啊
杭州-梅小西17:41:09
会有注入风险?
北京-蓝冰(151702314) 17:41:17
奥。
北京-大飞(17:41:25
比如我order by t.name 干嘛写成 ${t.name} ?
深-谢同学 17:41:30
如果是可以用户输入的,可能会有SQL注入呀。
记得在华为的时候,他们会扫描代码,发现$符号的都会发警告。