mybatis中#{}和${}的区别
mybatis 区别
2023-09-11 14:21:41 时间
mybatis本身的说明:
String Substitution By default, using the #{} syntax will cause MyBatis to generate PreparedStatement properties and set the values safely against the PreparedStatement parameters (e.g. ?). While this is safer, faster and almost always preferred, sometimes you just want to directly inject a string unmodified into the SQL Statement. For example, for ORDER BY, you might use something like this: ORDER BY ${columnName} Here MyBatis won't modify or escape the string. NOTE It's not safe to accept input from a user and supply it to a statement unmodified in this way. This leads to potential SQL Injection attacks and therefore you should either disallow user input in these fields, or always perform your own escapes and checks.
从上文可以看出:
1. 使用#{}格式的语法在mybatis中使用Preparement语句来安全的设置值,执行sql类似下面的:
PreparedStatement ps = conn.prepareStatement(sql);
ps.setInt(1,id);
这样做的好处是:更安全,更迅速,通常也是首选做法。
2. 不过有时你只是想直接在 SQL 语句中插入一个不改变的字符串。比如,像 ORDER BY,你可以这样来使用:
ORDER BY ${columnName}
此时MyBatis 不会修改或转义字符串。
这种方式类似于:
Statement st = conn.createStatement();
ResultSet rs = st.executeQuery(sql);
这种方式的缺点是: 以这种方式接受从用户输出的内容并提供给语句中不变的字符串是不安全的,会导致潜在的 SQL 注入攻击,因此要么不允许用户输入这些字段,要么自行转义并检验。
参考文献:
【1】http://mybatis.github.io/mybatis-3/sqlmap-xml.html
【2】https://mybatis.github.io/mybatis-3/zh/sqlmap-xml.html
相关文章
- Mybatis之使用注解开发CRUD
- mybatis if判断中的特殊符号
- MyBatis 调用存储过程
- springboot整合springsecurity以及mybatis-plus详解
- Mybatis的反射
- Introduction to MyBatis Generator Mybatis代码生成介绍
- springboot(七):springboot+mybatis多数据源最简解决方案
- mysql Mybatis井号#与$的区别
- 自己动手编写一个Mybatis插件:Mybatis脱敏插件
- mybatis 中的 resultType 和 resultMap 的用法与区别
- Mybatis 中的 @Mapper, @MapperScan, @Repository,mybatis.mapper-locations 的用法与区别
- 《深入理解mybatis原理》 Mybatis数据源与连接池
- 【转】Mybatis学习---MyBatis知识、原始Dao开发和mapper代理开发
- 【SSM】Spring+SpringMVC+mybatis入门(环境搭建)
- Mybatis+Oracle搭配insert空值报错之myBatis+mysql驱动+oracle驱动的源码分析
- MyBatis Like查询处理%_符号
- mybatis oracle自增长和UUID两种主键生成策略
- SpringBoot入门篇--整合mybatis+generator自动生成代码+druid连接池+PageHelper分页插件+SpringBoot整合Mybatis-plus