mybatis中的$和#的区别

Posted 2023-04-16

1. #将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：order by #user_id#，如果传入的值是111,那么解析成sql时的值为order by "111", 如果传入的值是id，则解析成的sql为order by "id".

2. $将传入的数据直接显示生成在sql中。如：order by $user_id$，如果传入的值是111,那么解析成sql时的值为order by user_id, 如果传入的值是id，则解析成的sql为order by id.

3. #方式能够很大程度防止sql注入。　

4.$方式无法防止Sql注入。
5.$方式一般用于传入数据库对象，例如传入表名.

6.一般能用#的就别用$.
MyBatis排序时使用order by 动态参数时需要注意，用$而不是#
字符串替换
默认情况下，使用#格式的语法会导致MyBatis创建预处理语句属性并以它为背景设置安全的值（比如?）。这样做很安全，很迅速也是首选做法，有时你只是想直接在SQL语句中插入一个不改变的字符串。比如，像ORDER BY，你可以这样来使用：
ORDER BY $columnName
这里MyBatis不会修改或转义字符串。

重要：接受从用户输出的内容并提供给语句中不变的字符串，这样做是不安全的。这会导致潜在的SQL注入攻击，因此你不应该允许用户输入这些字段，或者通常自行转义并检查。

mybatis本身的说明：

?

1
2
3
4
5

String Substitution
By default, using the # syntax will cause MyBatis to generate PreparedStatement properties and set the values safely against the PreparedStatement parameters (e.g. ?). While this is safer, faster and almost always preferred, sometimes you just want to directly inject a string unmodified into the SQL Statement. For example, for ORDER BY, you might use something like this:
ORDER BY $columnName
Here MyBatis won't modify or escape the string.
NOTE It's not safe to accept input from a user and supply it to a statement unmodified in this way. This leads to potential SQL Injection attacks and therefore you should either disallow user input in these fields, or always perform your own escapes and checks.

从上文可以看出：

1. 使用#格式的语法在mybatis中使用Preparement语句来安全的设置值，执行sql类似下面的：

?

1
2

PreparedStatement ps = conn.prepareStatement(sql);
ps.setInt(1,id);

这样做的好处是：更安全，更迅速，通常也是首选做法。

2. 不过有时你只是想直接在 SQL 语句中插入一个不改变的字符串。比如，像 ORDER BY，你可以这样来使用：

?

1

ORDER BY $columnName

此时MyBatis 不会修改或转义字符串。

这种方式类似于：
?

1
2

Statement st = conn.createStatement();
ResultSet rs = st.executeQuery(sql);

这种方式的缺点是：
以这种方式接受从用户输出的内容并提供给语句中不变的字符串是不安全的，会导致潜在的 SQL 注入攻击，因此要么不允许用户输入这些字段，要么自行转义并检验。 参考技术A

#相当于对数据 加上 双引号，$相当于直接显示数据

#将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：order by #user_id#，如果传入的值是111,那么解析成sql时的值为order by "111", 如果传入的值是id，则解析成的sql为order by "id".　　

$将传入的数据直接显示生成在sql中。如：order by $user_id$，如果传入的值是111,那么解析成sql时的值为order by user_id,  如果传入的值是id，则解析成的sql为order by id.

3. #方式能够很大程度防止sql注入。

4.$方式无法防止Sql注入。

5.$方式一般用于传入数据库对象，例如传入表名.

6.一般能用#的就别用$.

MyBatis排序时使用order by 动态参数时需要注意，用$而不是#

参考技术B Bee框架不会有这个问题.可以尝试下,多一个选择.
Bee框架:一个十分钟即可学会的ORM框架。它不用每操作一个数据库表,就要编写一次dao代码，省时/优雅、简易、自动( Tea: Timesaving/Tasteful, Easy, Automatic) ,开发效率极高，编码复杂度为O(1).
一个开发成本和开发速度都不比php差的java ORM框架。 参考技术C $是拼接sql，#是传参

浅谈 Mybatis中的 ${ } 和 #{ }的区别

一、举例说明

1 select * from user where name = "dato"; 
2 
3 select * from user where name = #{name}; 
4 
5 select * from user where name = ‘${name}‘; 

一般情况下，我们都不会注意到这里面有什么不一样的地方。因为这些sql都可以达到我们的目的，去查询名字叫dato的用户。

二、区别

动态 SQL 是 mybatis 的强大特性之一，也是它优于其他 ORM 框架的一个重要原因。mybatis 在对 sql 语句进行预编译之前，会对 sql 进行动态解析，解析为一个 BoundSql 对象，也是在此处对动态 SQL 进行处理的。在动态 SQL 解析阶段， #{ } 和 ${ } 会有不同的表现

select * from user where name = #{name}; 

#{} 在动态解析的时候， 会解析成一个参数标记符。就是解析之后的语句是：

select * from user where name = ？; 

 

 

那么我们使用 ${}的时候

select * from user where name = ‘${name}‘; 

${}在动态解析的时候，会将我们传入的参数当做String字符串填充到我们的语句中，就会变成下面的语句

select * from user where name = "dato"; 

预编译之前的 SQL 语句已经不包含变量了，完全已经是常量数据了。相当于我们普通没有变量的sql了。

综上所得， ${ } 变量的替换阶段是在动态 SQL 解析阶段，而 #{ }变量的替换是在 DBMS 中。

这是 #{} 和 ${} 我们能看到的主要的区别，除此之外，还有以下区别：

• #方式能够很大程度防止sql注入。
• $方式无法防止Sql注入。
• $方式一般用于传入数据库对象，例如传入表名.
• 一般能用#的就别用$.

所以我们在使用mybatis的时候，尽量的使用#方式！！！这是大家要注意的地方

出处:http://www.cnblogs.com/dato/p/7027949.html