【MyBatis】预编译SQL与即时SQL

_周游2025-02-18 19:16

目录

[1. 以基本类型参数为例测试#{ }与{ }传递参数的区别](#{ }与{ }传递参数的区别)

[1.1 参数为Integer类型](#1.1 参数为Integer类型)

[1.2 参数为String类型](#1.2 参数为String类型)

[2. 使用#{ }传参存在的问题](#{ }传参存在的问题)

[2.1 参数为排序方式](#2.1 参数为排序方式)

[2.2 模糊查询](#2.2 模糊查询)

[3. 使用{ }传参存在的问题](#3. 使用{ }传参存在的问题)

[3.1 SQL注入](#3.1 SQL注入)

[3.2 对比#{ } 与 { }在SQL注入方面存在的问题](#{ } 与 { }在SQL注入方面存在的问题)

[3.3 预编译SQL与即时SQL](#3.3 预编译SQL与即时SQL)

[3.4 解决模糊查询只能使用{}的问题](#3.4 解决模糊查询只能使用{}的问题)

使用MyBatis进行数据库操作在进行参数传递时，有#{ } 与 ${ }两种方式。

本文介绍两种方式的区别；

1. 以基本类型参数为例测试#{ }与${ }传递参数的区别

1.1 参数为Integer类型

在UserInfoMapper文件中创建selectOne方法，分别使用#{ } 与 ${ }传递参数：

java 复制代码 
package com.zhouyou.mybatisdemo1.mapper;
import com.zhouyou.mybatisdemo1.model.UserInfo;
import org.apache.ibatis.annotations.*;

import java.util.List;

@Mapper
public interface UserInfoMapper {
    @Select("select* from userinfo where id= #{id}")
    UserInfo selectOne(Integer id);
}

编写测试类UserInfoMapperTest及测试方法：

java 复制代码 
package com.zhouyou.mybatisdemo1.mapper;

import com.zhouyou.mybatisdemo1.model.UserInfo;
import lombok.extern.slf4j.Slf4j;
import org.junit.jupiter.api.Test;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.boot.test.context.SpringBootTest;

import java.util.List;

import static org.junit.jupiter.api.Assertions.*;
@Slf4j
@SpringBootTest
class UserInfoMapperTest {
    @Autowired
    private UserInfoMapper userInfoMapper;
    @Test
    void selectOne() {
        log.info(userInfoMapper.selectOne(4).toString());
    }
}

使用#{ }的运行测试类情况：

使用${ }的运行测试类情况：

可见当参数为Intgeer类型时，使用#{ } 与 ${ }均可正确传递参数；

1.2 参数为String类型

在UserInfoMapper文件中创建selectOneByName方法，分别使用#{ } 与 ${ }传递参数：

java 复制代码 
package com.zhouyou.mybatisdemo1.mapper;
import com.zhouyou.mybatisdemo1.model.UserInfo;
import org.apache.ibatis.annotations.*;

import java.util.List;

@Mapper
public interface UserInfoMapper {
    @Select("select* from userinfo where username =#{username}")
//    @Select("select* from userinfo where username =${username}")
    UserInfo selectOneByName(String name);
}

编写测试类UserInfoMapperTest及测试方法：

java 复制代码 
package com.zhouyou.mybatisdemo1.mapper;

import com.zhouyou.mybatisdemo1.model.UserInfo;
import lombok.extern.slf4j.Slf4j;
import org.junit.jupiter.api.Test;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.boot.test.context.SpringBootTest;

import java.util.List;

import static org.junit.jupiter.api.Assertions.*;
@Slf4j
@SpringBootTest
class UserInfoMapperTest {
    @Autowired
    private UserInfoMapper userInfoMapper;
    @Test
    void selectOneByName() {
        log.info(userInfoMapper.selectOneByName("zhangsan").toString());
    }
}

启动测试类，

对于使用#{ } 进行参数传递的方法，可正确运行；

对于使用${ } 进行参数传递的方法报错如下：

使用#{ }时，如果参数为String类型，会自动加上' '，

使用${ }时，会直接进行拼接，故如果参数为字符串类型，需手动增加 ' '，修改SQL语句如下：

java 复制代码 
@Select("select* from userinfo where username ='${username}'")

重启测试类，启动成功，日志如下：

2. 使用#{ }传参存在的问题

2.1 参数为排序方式

现以实现**升序（参数为asc）或降序（参数为desc）**的全列查询为例，分别使用#{ } 与 ${ }进行参数传递：

1、使用#{ }进行参数传递：

在UserInfoMapper中编写排序方法：

java 复制代码 
    // 排序
    @Select("select* from userinfo order by id #{sort}")
    List<UserInfo> selectUserBySort(String sort);

生成测试方法并对排序结果进行打印：

java 复制代码 
    @Test
    void selectUserBySort() {
        log.info(userInfoMapper.selectUserBySort("asc").toString());
    }

启动测试类，报错如下：

2、使用${ }参数传递：

在UserInfoMapper中编写修改排序方法，使用${ }传参：

java 复制代码 
    @Select("select* from userinfo order by id ${sort}")
    List<UserInfo> selectUserBySort(String sort);

启动测试类，运行成功：

可见当参数为sql查询语句的排序方式：asc与desc时，若使用#{ }进行参数传递，则在该字符串上加上' '会造成错误，因此对于参数为排序方式的方法，只能使用${ }进行参数传递；

不止排序方式，包括参数为表名、字段名等作为参数时，也不能使用#{ }进行参数传递；

2.2 模糊查询

1、使用#{ }参数传递：

在UserInfoMapper中编写排序方法：

java 复制代码 
    // 模糊查询
    @Select("select* from userinfo where username like '%#{partPara}%' ")
    List<UserInfo> selectUserByLike(String partPara);

生成测试方法并对排序结果进行打印：

java 复制代码 
    @Test
    void selectUserByLike() {
        log.info(userInfoMapper.selectUserByLike("tian").toString());
    }

启动测试类，报错如下：

可见由于#{ }由于增加引号，也使得模糊查询出现问题。

2、使用${ }参数传递：

在UserInfoMapper中修改排序方法，使用${ }传递参数：

java 复制代码 
    // 模糊查询
    @Select("select* from userinfo where username like '%${partPara}%' ")
    List<UserInfo> selectUserByLike(String partPara);

启动测试类，运行成功，查询结果如下：

3. 使用${ }传参存在的问题

3.1 SQL注入

SQL注入：是指将另外的SQL语句作为参数，执行后修改了原本的SQL语句，从而通过执行代码对服务器进行攻击。

比如：正常SQL如下：以参数为'admin'为例：

sql 复制代码 
select* from userinfo where username= 'admin'

试传参为 'or 1 = ' 1，（使用'or 1 = ' 1直接替换admin），则SQL语句变为：

sql 复制代码 
select* from userinfo where username= ''or 1 = ' 1'

1='1'恒成立，故会导致进行全列查询，获取userinfo整张表的信息。

3.2 对比#{ } 与 ${ }在SQL注入方面存在的问题

1、使用# { }传参：

在UserInfoMapper文件中创建selectOneByName方法，使用#{ } 传递参数：

java 复制代码 
package com.zhouyou.mybatisdemo1.mapper;
import com.zhouyou.mybatisdemo1.model.UserInfo;
import org.apache.ibatis.annotations.*;

import java.util.List;

@Mapper
public interface UserInfoMapper {
    @Select("select* from userinfo where username =${username}")
    UserInfo selectOneByName(String name);
}

编写测试类UserInfoMapperTest及测试方法：

java 复制代码 
package com.zhouyou.mybatisdemo1.mapper;

import com.zhouyou.mybatisdemo1.model.UserInfo;
import lombok.extern.slf4j.Slf4j;
import org.junit.jupiter.api.Test;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.boot.test.context.SpringBootTest;

import java.util.List;

import static org.junit.jupiter.api.Assertions.*;
@Slf4j
@SpringBootTest
class UserInfoMapperTest {
    @Autowired
    private UserInfoMapper userInfoMapper;
    @Test
    void selectOneByName() {
        log.info(userInfoMapper.selectOneByName("'or 1='1 ").toString());
    }
}

运行启动类，可见发生了SQL注入，使得查询到了整张表的信息：

2、使用# { }传参：

修改UserInfoMapper文件中的selectOneByName方法，改为使用#{ }传参：

java 复制代码 
    @Select("select* from userinfo where username =#{username}")
    List<UserInfo> selectOneByName(String name);

重新启动测试类，查询结果如下：

可见使用#{ }进行参数传递并未发生SQL注入问题；

3.3 预编译SQL与即时SQL

1、对于使用#{ }进行参数传递的SQL语句采取预编译的方式，称为预编译SQL，SQL执行会进行语法解析、SQL优化、SQL编译等步骤，可避免SQL注入的发生；

2、对于使用${ }进行参数传递的SQL语句采取即时的方式，称为即时SQL，直接对参数进行拼接，有出现SQL注入的风险；

可见综合比对，使用#{}进行参数传递是更安全的选择。

3.4 解决模糊查询只能使用${}的问题

为了防止模糊查询使用${ }进行参数传递时导致的SQL注入问题，可以使用mysql的内置函数CONCAT搭配#{ }进行参数传递实现模糊查询：

java 复制代码 
    @Select("select* from userinfo where username like CONCAT('%',#{partPara},'%')")
    List<UserInfo> selectUserByLike(String partPara);

测试函数传递参数为tian：

在实际开发中，尽量都使用#{ }进行传递。

相关推荐
八股文领域大手子13 小时前
深入理解缓存淘汰策略：LRU 与 LFU 算法详解及 Java 实现
java·数据库·算法·缓存·mybatis·哈希算法
王景程17 小时前
如何使用 Redis 缓存验证码
redis·缓存·mybatis
八股文领域大手子20 小时前
深入浅出限流算法（三）：追求极致精确的滑动日志
开发语言·数据结构·算法·leetcode·mybatis·哈希算法
BillKu1 天前
Java + Spring Boot + MyBatis获取以及持久化sql语句的方法
java·spring boot·mybatis
DBWYX1 天前
redis
java·redis·mybatis
xbhog2 天前
Java大厂面试突击：从Spring Boot自动配置到Kafka分区策略实战解析
spring boot·kafka·mybatis·java面试·分布式架构
爱的叹息2 天前
MyBatis缓存配置的完整示例，包含一级缓存、二级缓存、自定义缓存策略等核心场景，并附详细注释和总结表格
缓存·mybatis
PXM的算法星球2 天前
【Java后端】MyBatis 与 MyBatis-Plus 如何防止 SQL 注入？从原理到实战
java·sql·mybatis
旧故新长2 天前
MyBatis 类型处理器（TypeHandler）注册与映射机制：JsonListTypeHandler和JsonListTypeHandler注册时机
java·开发语言·mybatis
wkj0012 天前
springboot + mybatis 需要写 .xml吗
xml·spring boot·mybatis
热门推荐
01KGG转MP3工具|非KGM文件|解密音频02从零安装 LLaMA-Factory 微调 Qwen 大模型成功及所有的坑03西电B测-计算机网络综合实验(含验收问题)04YOLOv8入门 | 重要性能衡量指标、训练结果评价及分析及影响mAP的因素【发论文关注的指标】05Coze扣子平台完整体验和实践（附国内和国际版对比）06DeepSeek各版本说明与优缺点分析07【VIsion Master】机器视觉软件二次开发（C#版本）学习笔记08yolov8，yolo11，yolo12 服务器训练到部署全流程 笔记09我决定放弃搞 Java 了10Python基于Flask的豆瓣电影数据分析可视化系统（附源码，文档说明）