mybatis-plus: #{}和${}的区别

一、介绍

在MyBatis以及MyBatis-Plus中，#{}和${}都是用于在SQL语句中嵌入参数的占位符，但它们在使用方式和安全性上存在明显的区别。

（1）#{}（预处理占位符）

使用方式：#{}是预处理（PreparedStatement）的占位符，MyBatis在解析SQL语句时，会将#{}内的参数替换为?，然后设置参数的值。这样做的好处是避免了SQL注入的风险，因为参数的值不会和SQL语句的其他部分拼接。
安全性：由于#{}使用了预处理的方式，因此它可以有效地防止SQL注入攻击。即使参数中包含了恶意的SQL代码片段，它们也会被当作普通字符串处理，不会被执行。
使用场景：#{}适用于所有的SQL语句中的参数占位，是推荐的默认做法。

（2）${}（字符串替换占位符）

• 使用方式：${}是简单的字符串替换占位符，MyBatis在解析SQL语句时，会直接将${}内的参数替换为参数的实际值，并拼接进SQL语句中。这意味着如果参数中包含SQL关键字或特殊字符，它们可能会被当作SQL语句的一部分执行，从而引发SQL注入的风险。

• 安全性：由于${}直接将参数值拼接到SQL语句中，因此它存在SQL注入的风险。除非你能确保传入的参数是安全的，否则应该避免使用${}。

• 使用场景：${}主要用于一些动态SQL语句的构建，比如表名、列名等，因为这些元素在预处理时无法作为参数传递。但使用时需要特别小心，确保传入的参数是安全的。

二、总结

• 尽可能使用#{}来避免SQL注入的风险。
• 在需要动态构建表名、列名等SQL元素时，才考虑使用${}，但要确保传入的参数是安全的。
• 始终牢记，安全是软件开发中最重要的考虑因素之一，特别是在处理用户输入和数据库交互时。