MyBatis中 #{} 和 ${}的区别

Posted 2022-12-30 jumpkin1122

 

#：如果传入的是字符串，则会将其中的值作为字符串拼接到sql上。 安全。

$：如果传入的是字符串，则不会作为字符串，而是直接拼接到sql上。不安全。

条件名：name = "age"
select * from user order by #name; --> select * from user order by ‘age‘;
select * from user order by $name; --> select * from user order by age;

 

#和$

#表示一个占位符号，通过#可以实现preparedStatement向占位符中设置值，自动进行java数据类型和jdbc类型转换，#可以有效的防止sql注入。可以接收基本类型值或类对象(user)。如果parameterType传输单个基本类型值，#括号中可以是value或其他名称。自动识别。

$表示拼接sql串，通过$可以将parameterType传入的内容拼接在sql中且不进行jdbc类型转换，$可以接收简单类型值或对象类对象(user)属性值，如果parameterType传输单个基本类型值，$括号中只能是value。