MyBatis中使用#{}和${}的区别

Posted 果冻迪迪

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了MyBatis中使用#{}和${}的区别相关的知识,希望对你有一定的参考价值。

 

select * from table_name where id=#{id};

select * from table_name where id=${id}; 

区别:

在动态SQL解析阶段,#{}会被解析为JDBC预编译语句的参数标记符(占位符),例如上面的#{}语句将被解析为:

select * from table_name where id=? ;

  而${}则直接解析为字符串变量替换,当变量id的传参为"xiaoming"时,上面的${}语句将被解析为:

select * from table_name where id=‘xiaoming‘;

  也就是说,对于变量替换,#{}发生在DBMS中,而${}发生在动态SQL解析阶段。

实际使用:

1、当变量为表名时,只能使用${},这是因为#{}解析的占位符在进行变量替换时,会带上单引号‘ ‘,表名带单引号会导致SQL错误。

2、除了上面第1条之外,能用#{}的地方尽量用#{},这是因为相同的预编译SQL可以复用,用#{}能够节能开销提高性能;${}会引起SQL注入问题,例如:

select * from ${tableName} where name = #{name} 

  当tableName为 " user; delete user; --"时,SQL将被解析为:

select * from user; delete user; -- where name = ?;

  这样就造成了严重后果(-- 等于注释)。

 

参考:http://blog.csdn.net/pfnie/article/details/53230994

以上是关于MyBatis中使用#{}和${}的区别的主要内容,如果未能解决你的问题,请参考以下文章

SSM-MyBatis-05:Mybatis中别名,sql片段和模糊查询加getMapper

Mybatis中#和$的区别

mybatis中的#和$的区别

mybatis和ibatis的区别

Mybatis和JDBC区别

mybatis javaType 和 jdbcType 区别