mybatis#号和$区别

MyBatis中,`#{}`${}都是用于实现动态SQL的占位符,但它们在使用场景和安全性上有明显的区别:

  1. 用途区别

    • #{}主要用于传递接口传输过来的具体数据,如参数值,它可以防止SQL注入,因为MyBatis会对#{}中的参数进行预编译处理,将参数值安全地传递给数据库,并且自动转义特殊字符,避免SQL注入攻击。这种方式适用于大多数情况,尤其是当参数值来自用户输入或不可信数据时。例如: SELECT * FROM users WHERE id = #{userId}

      java 复制代码
          "#{}":MyBatis会使用预编译的SQL语句,并为每个参数,设置相应的占位符(通常是"?"),
          
          然后,当执行SQL时,MyBatis会使用 "PreparedStatement 的 setXXX()方法"来设置参数值,
          
          这种方式,可以有效地防止SQL注入攻击,
      
          因为,参数值不会被解析为SQL的一部分。
    • ${}则一般用于传入数据库对象,例如列表和表名,它不会对参数进行预编译处理,而是直接将参数拼接 到了原始的SQL里面。这种方式可以适合应用在一些动态SQL场景中,比如动态传递表名、动态设置排序字段等,但由于不会对参数进行特殊处理,存在SQL注入的风险。

      sql 复制代码
      SELECT * FROM users WHERE id = ${userId} 
      相当于 "SELECT * FROM users WHERE id =" + userId
  2. 安全性

    • #{}由于具有更高的安全性,能够防止SQL注入,因此在能够使用#{}的地方应尽量避免使用${}。使用#{}产生的预编译SQL语句可以提高数据库性能,因为数据库可以缓存相同的预编译语句。
    • ${}由于直接拼接原始SQL语句,无法防止SQL注入的问题,因此在需要动态参数的场景中应谨慎使用,确保传入的数据是安全的。
  3. 总结

    • 在实际应用中,应优先考虑使用#{}占位符来传递参数,以避免潜在的安全风险。只有在确实需要动态拼接原始SQL语句的情况下,才考虑使用${}占位符,并确保传入的数据经过适当的验证和过滤。
相关推荐
Hello.Reader36 分钟前
RedisJSON 路径语法深度解析与实战
数据库·redis·缓存
TDengine (老段)1 小时前
TDengine 使用最佳实践(2)
大数据·数据库·物联网·时序数据库·iot·tdengine·涛思数据
设计师小聂!4 小时前
Linux系统中部署Redis详解
linux·运维·数据库·redis
kfepiza4 小时前
Debian-10编译安装Mysql-5.7.44 笔记250706
linux·数据库·笔记·mysql·debian·bash
Touper.4 小时前
Redis 基础详细介绍(Redis简单介绍,命令行客户端,Redis 命令,Java客户端)
java·数据库·redis
不剪发的Tony老师4 小时前
phpMyAdmin:一款经典的MySQL在线管理工具又回来了
数据库·mysql·phpmyadmin
极限实验室4 小时前
TDBC 2025 可信数据库发展大会,极限科技邀您来赴约!
数据库
lixia0417mul26 小时前
使用Starrocks替换Clickhouse的理由
数据库
军军君016 小时前
基于Springboot+UniApp+Ai实现模拟面试小工具四:后端项目基础框架搭建下
spring boot·spring·面试·elementui·typescript·uni-app·mybatis
张璐月7 小时前
mysql的性能优化:组提交、数据页复用、全表扫描优化、刷脏页
数据库·mysql·性能优化