Mybatis 中$和#千万不要乱用！

最新推荐文章于 2024-09-01 06:45:00 发布
最新推荐文章于 2024-09-01 06:45:00 发布
阅读量225 收藏
点赞数
原文链接：https://mp.weixin.qq.com/s?__biz=MzI1NDQ3MjQxNA==\x26amp;mid=2247488970\x26amp;idx=1\x26amp;sn=2a472fcd1b6b7180a15094aeebbcedb0\x26amp;chksm=e9c5ec7bdeb2656da8541a9cff3522335aaa63a0412093b3318d1afb1fa562e4691845e606ff#rd
版权

点击蓝色「日拱一兵」，持续侦破 Java 技术案件

640?wx_fmt=jpeg


开头

这是一次代码优化过程中发现的问题，在功能优化后发现部分数据查不到出来了，问题就在于一条sql上的#和$。

下图为两条sql：

640?wx_fmt=jpeg

从图上可以看出 wwlr.LabelId in(${showLabels}) 和 wwlr.LabelId in(#{showLabels})，其中showLabels是传进来一个字符串类型的参数，参数的样子是这样的“4,44,514”，问题就出在这个参数传进来后#和$处理的方式是不一样的。

区别

1、#{ }是预编译处理，MyBatis在处理#{ }时，它会将sql中的#{ }替换为？，然后调用PreparedStatement的set方法来赋值，传入字符串后，会在值两边加上单引号，如上面的值 “4,44,514”就会变成“ '4,44,514' ”；

2、${ }是字符串替换， MyBatis在处理${ }时,它会将sql中的${ }替换为变量的值，传入的数据不会加两边加上单引号。

注意：使用${ }会导致sql注入，不利于系统的安全性！

SQL注入：就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。常见的有匿名登录（在登录框输入恶意的字符串）、借助异常获取数据库信息等

应用场合：

1、#{ }：主要用户获取DAO中的参数数据,在映射文件的SQL语句中出现#{}表达式,底层会创建预编译的SQL；

2、${ }:主要用于获取配置文件数据,DAO接口中的参数信息,当$出现在映射文件的SQL语句中时创建的不是预编译的SQL,而是字符串的拼接,有可能会导致SQL注入问题.所以一般使用$接收dao参数时,这些参数一般是字段名,表名等,例如order by {column}。

注：

${}获取DAO参数数据时,参数必须使用@param注解进行修饰或者使用下标或者参数#{param1}形式；

#{}获取DAO参数数据时,假如参数个数多于一个可有选择的使用@param。

问题分析

其实刚开始我也没太去看sql里的#和$，我把sql放到数据库跑一切正常，所以我就将代码的执行sql输出到控制台了，具体是这么一个输出sql的配置文件：

640?wx_fmt=jpeg

输出后，终于发现了问题在哪里。。。。

看了上面的区别介绍，相信大家其实都应该知道区别在哪里，我们的问题在哪里，其实就是sql在in的时候 ，里面的数据被加了两个双引号。“wwlr.LabelId in（4,44,514）就会变成 wwlr.LabelId in（'4,44,514' ）；所以导致部分数据查不到了。


640?wx_fmt=png

推荐阅读

640?wx_fmt=png

yusimiao
关注
分析mybatis的#{}、${}(#绑定变量超过一定值导致Oracle挂掉)
liuzhen_333的专栏
01-18 1952
@TOC 最近跟数据库干上了 先说下问题起源，算奖确认订单，需要批量update订单，查了相关资料，是mybatis一次性绑定变量超过65535（这个数值并不准，因为后来绑定变量超过一万一又导致Oracle挂掉一次），引发了Oracle的一个bug，导致数据库宕机 mybatis 引入参数#和$区别 1.#是绑定变量的形式，底层会用#{}会被替换为?号，有参数映射,会在DefaultParamet...
MyBatis笔记
热门推荐
qq_19387933的博客
03-03 4万+
尚硅谷2022新版MyBatis笔记
MyBatis 中 ${}和 #{}的正确使用方法(千万不要乱用)
08-18
主要介绍了MyBatis 中 ${}和 #{}的正确使用方法,本文给大家提到了MyBatis 中 ${}和 #{}的区别，本文通过实例代码给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值，需要的朋友可以参考下
mybatis中#和$的区别（面试）
雷大大的程序猿的博客
11-23 1337
mybatis中的#和$的区别 #将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：order by #user_id#，如果传入的值是111,那么解析成sql时的值为order by “111”, 如果传入的值是id，则解析成的sql为order by “id”. $将传入的数据直接显示生成在sql中。如：order by useriduser_iduseri​d，如果传...
MyBatis中的#和$：深入解析与实战应用
xycxycooo的博客
09-01 1248
MyBatis是一个持久层框架，它避免了几乎所有的JDBC代码和手动设置参数以及获取结果集。MyBatis通过配置文件或注解实现数据库字段与Java对象属性之间的映射。MyBatis中的和占位符各有其适用场景。占位符用于预编译SQL语句，可以防止SQL注入攻击，性能较好；占位符用于直接替换SQL语句中的参数值，存在SQL注入风险，但在需要动态生成SQL语句的情况下是必需的。希望通过本文的详细解析和示例代码，大家能更好地理解和的区别，并在实际项目中正确使用它们。
一文解惑mybatis中的#{}和${}
一个菜鸡的博客
07-19 5868
{}先编译sql语句，再给占位符传值，底层是PreparedStatement实现。可以防止sql注入，比较常用。${}先进行sql语句拼接，然后再编译sql语句，底层是Statement实现。存在sql注入现象。只有在需要进行sql语句关键字拼接的情况下才会用到。
mybatis 不允许$_MyBatis(一)：配置文件
weixin_39526741的博客
01-12 333
一：mybatis流程图二：mybatis配置文件详解（读取Mybatis的内部核心文件并加载映射文件）1 mybatis-config.xml为MyBatis的全局配置文件，用于配置数据库连接、属性、类型别名、类型处理器、插件、环境配置、映射器（mapper.xml）等信息。1.2 映射文件其实是在mybatis-config.xml里配置的。（1）映射文件即SQL映射文件，该文件中配置了操作数...
Mybatis中的${}和#{}使用场合
08-20
- *2* *3* [Mybatis系列：Mybatis中 $ 和 # 千万不要乱用！](https://blog.csdn.net/Mrs_chens/article/details/90403648)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":...
今日课题——如何理解MyBatis(优点&缺点)&MyBatis使用详解！
Java_Yhua的博客
12-18 267
一、MyBatis篇 1、什么是MyBatis （1）Mybatis是一个半ORM（对象关系映射）框架，它内部封装了JDBC，开发时只需要关注SQL语句 本身，不需要花费精力去处理加载驱动、创建连接、创建statement等繁杂的过程。程序员直接编写原 生态sql，可以严格控制sql执行性能，灵活度高。 （2）MyBatis 可以使用 XML 或注解来配置和映射原生信息，将 POJO映射成数据库中的记录，避免了 几乎所有的 JDBC 代码和手动设置参数以及获取结果集。 （3）通过xml 文件或注解的方式将要
Mybatis系列：Mybatis中 $ 和 # 千万不要乱用！
Mr_chen的博客
05-21 1万+
这是一次代码优化过程中发现的问题，在功能优化后发现部分数据查不到出来了，问题就在于一条sql上的#和$。 从图上可以看出 wwlr.LabelId in(KaTeX parse error: Expected 'EOF', got '#' at position 33: …wlr.LabelId in(#̲{showLabels})，其…处理的方式是不一样的。 区别 #{ }是预编译处理，M...
MyBatis中#和$符的区别，sql注入问题，动态sql语句
m0_73381672的博客
02-06 1675
#{}和${}都是MyBatis提供的sql参数替换。区别是： #{}是预编译处理，${}是字符串直接替换。 #{}可以防止SQL注入，${}存在SQL注入的风险，例如 “' or 1='1” 虽然存在SQL注入风险，但也有自己的适用场景，比如排序功能，表名，字段名等作为参数传入时。 #{}模糊查询要搭配使用mysql内置的拼接函数concat，安全性高。模糊查询虽然${}可以完成，但是存在SQL注入，不安全。
mybatis 的$和#区别
大保健
03-12 75
用于动态的sql的使用， 我们要把带查找的参数 传入xml中 可以使用 #{} 和 ${} 两种传入参数方法 1. #{} 传入的参数带上了 双引号 " " selec * from #{table}; 解析后为 select * from "test" 查询会失败 2. ${} 传入...
一个神奇的问题———MyBatis中的${} 和#{}的区别
zhuzj12345的博客
05-08 186
这是一次代码优化过程中发现的问题，在功能优化后发现部分数据查不到出来了，问题就在于一条sql上的#和$。 下图为两条sql： 从图上可以看出 wwlr.LabelId in(${showLabels}) 和 wwlr.LabelId in(#{showLabels})，其中showLabels是传进来一个字符串类型的参数，参数的样子是这样的“4,44,514”，问题就出在这个参数传进来后#...
Mybatis中#和$的区别及应用
芃蓉蓁蓁的博客
06-27 1185
（一）#和$的区别 #{} 可以进行预编译处理，会被当成？号，调用PreparedStatement的set方法来赋值； 可以防止sql注入； 传入的参数在sql中被看成一个字符串，会对传入的数据自动加引号，例如： select id,name,age from user where id =#{id}; 当参数id传入的值是“1”时，上述sql解析为： select id,name,age from user where id =‘1’; ${} 不会进行预编译处理，是普通的占位符； 不
MyBatis #和$的区别
musi_m的博客
04-07 146
转:https://www.cnblogs.com/hellokitty1/p/6007801.html 1 #是将传入的值当做字符串的形式，eg:select id,name,age from student where id =#{id},当前端把id值1，传入到后台的时候，就相当于 select id,name,age from student where id ='1'. 2 $是将传入...
MyBatis中#和$符号的区别
逗比程序猿^_^的博客
09-20 211
#{}   使用#{}意味着使用的预编译的语句，即在使用jdbc时的preparedStatement，sql语句中如果存在参数则会使用?作占位符，我们知道这种方式可以防止sql注入，并且在使用#{}时形成的sql语句，已经带有引号，例，select * from table1 where id=#{id} 在调用这个语句时我们可以通过后台看到打印出的sql为：select * from ta...
MyBatis 中 ${}和 #{}千万不要乱用
小布1994的博客
07-26 3万+
1、#{}是预编译处理，MyBatis在处理#{ }时，它会将sql中的#{ }替换为？，然后调用PreparedStatement的set方法来赋值，传入字符串后，会在值两边加上单引号，如上面的值 “4,44,514”就会变成“ ‘4,44,514’ ”； 2、是字符串替换，在处理是字符串替换，MyBatis在处理时,它会将sql中的{}是字符串替换，在处理{ }是字符串替换， MyBat...
MyBatis——谈谈占位符（#、$）的理解与使用
贝尔摩德苦艾酒
03-02 3万+
MyBatis——谈谈占位符（#、$）的理解与使用
mybatis中$和#的区别
最新发布
10-25
在MyBatis中，`$`和`#`是两个特殊的字符，它们在动态SQL生成中有重要的作用： 1. `$`: 这是MyBatis的传统方式（即JDBC预编译语句的遗留支持），在动态SQL表达式中用于引用参数的值。当你在mapper XML文件中直接写 `${parameterName}`，它会被替换为传入的参数值。例如: ```xml <select id="selectUser" parameterType="map" resultType="User"> SELECT * FROM user WHERE name = #{name} </select> ``` 2. `#`: 这种形式是MyBatis 3.3及以上版本推荐使用的，特别是在Spring Boot集成时，它可以更好地避免SQL注入攻击，因为MyBatis会将`#{}`视为一个表达式，并通过EL（Expression Language）引擎去解析和安全地传递参数值。这种写法更安全且易于维护。同样地: ```xml <select id="selectUser" parameterType="User" resultType="User"> SELECT * FROM user WHERE name = #{name} </select> ``` 在上述XML中，`#name`会被Spring EL引擎解析成对应的请求参数值。 总结来说，`$`在老版本中使用较多，而`#`不仅提供了更好的安全特性，还兼容了更多现代的依赖和框架。使用`#`时，参数的类型信息会保存在Mapper的参数映射中，有助于MyBatis性能优化。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值