mybatis中#和$的区别

Posted 2023-03-25

如果你学过jdbc编程，就知道java提供了2种statement，一种是拼写式sql语句的statement，这种方式对应你说的$，并且可以轻松的注入攻击;另一种是preparestatement，这种是预编译的statement，因为预编译，执行效率要更高，并且由于其拼写sql只能用？代替（即字符不需要带“ ' ”单引号，）它会自动的帮你根据数据类型加上单引号或不加，所以，使用此方式拼写sql语句不容易被注入攻击（或者根本不会），这就是对于你说的#。
------最后，希望采纳！毕竟我们纯手打！ 参考技术A 首先通过下面两条sql及打印的执行sql，清楚明了的看一下它们的区别：
<select id="selectUserInfo" parameterType="java.util.Map" resultType="java.util.Map">
select
*
from
user
where
userId=$id password=#pwd
</select>12345678

假设入参传入的是1，打印执行sql如下：
Preparing:select * from user where id=1 and password=111111
<select id="selectUserInfo" parameterType="java.util.Map" resultType="java.util.Map">
select
*
from
user
where
userId=#id and password=#pwd
</select>12345678

同样入参传入1，打印的执行sql如下：
Preparing:select * from user where id=？ and password=?
Parameters:1(String),111111(String)
MyBatis启用了预编译功能，在SQL执行前，会先将上面的SQL发送给数据库进行编译；执行时，如果入参为#格式的，将入参替换编译好的sql中的占位符“?”；如果入参格式为$，则直接使用编译好的SQL就可以了。因为SQL注入只能对编译过程起作用，所以使用#入参的方式可以很好地避免了SQL注入的问题。
mybatis预编译底层实现原理
MyBatis是如何做到SQL预编译的呢？其实在框架底层，是JDBC中的PreparedStatement类在起作用，PreparedStatement是我们很熟悉的Statement的子类，它的对象包含了编译好的SQL语句。这种“准备好”的方式不仅能提高安全性，而且在多次执行同一个SQL时，能够提高效率。原因是SQL已编译好，再次执行时无需再编译。
总结
#：相当于JDBC中的PreparedStatement
$：是输出变量的值
简单说，#是经过预编译的，是安全的；$是未经过预编译的，仅仅是取变量的值，是非安全的，存在SQL注入。
番外（sql注入）
还是以上面的两条sql为例，入参id的值传入“1 or userId=2”,入参pwd的值传入“111111”。以#格式传入入参后的执行sql：
select * from user where userId=”1 or userId=2” and password = “111111”;
以$格式传入入参后的执行sql：
select * from user where userId=1 or userId=2 and password = 111111;
很显然，以$格式传入入参后的执行sql打乱了我们的预期sql格式及查询条件，从而实现sql注入。所以，除了order by 等需要传入数据库字段等的入参使用$,其他的尽量使用#。

mybatis中#{}和${}的区别

动态sql是mybatis的主要特性之一，我们的惯用做法是将mapper中收集来的参数传递到xml中，组装成动态的sql语句

去执行，mybatis支持两种参数替换的语法：${}和#{}，下面简单介绍下两者的区别

1、在解析时：

　　${}是一个简单的String替换

　　#{}会解析为一个prepared statement，对的，学习过原生jdbc的同学一定再熟悉不过这个叫法了：预处理语句

也就是类似select * from user where name = ?;  预处理的好处？写过视图的应该知道，视图就好比一条预处理的sql

执行的时候效率当然更高一些

2、防sql注入

　　${}既然是String原原本本的替换，那么如果我找漏洞，可否将传入的值后面加一个类似于可执行的sql语句？

比如传入id值，我可以这样传入："id=1;delete from user"，最后拼接起来的语句变为

"select * from user where id=1;delete from user"

user表被删了，当然这是个简单的例子，仅仅用来说明问题

　　#{}则不会出现这样的问题

因此在传入的值中包含表名的时候，必须使用#{}，其实在项目中${}早已被丢弃、、、