MyBatis中的#{}与${}的区别

落日映苍穹つ 2021-12-03 04:45 299阅读 0赞

## MyBatis中的\#\{\}与$\{\}的区别 ##

MyBatis中的#{}与${}最大的区别就是 使用#{}时，会对传入的值都加一个双引号，而使用${}时，会直接用传入的值替代${}，而不会加双引号
    	
    	MyBatis中的${}
    		例如:
    			我要查询test表中enum1列的值为hotel的一条数据,SQL语句是这样写的:
    				select * from test t where  t.enum1='${enum1}'
    			正常情况下查出的信息为:
    				图一
    			但是如果对传入的数据进行一些更改，比如说将本应该正常输入的hotel修改为anything' OR 'a'='a则传入后最终SQL语句是这样的:
    				select * from test t where  t.enum1='anything' OR 'x'='x'
    			现在所查出的信息为:
    				图二
    			因为我的这个表中只有两条数据，现在着两条数据也就是这个表的所有数据都被查出来了，原因是最初的双引号''和anything' OR 'x'='x组成了'anything' OR 'x'='x',而 OR 后面恒等于1，也就是一直成立，所以对这个表进行了查询所有的操作。这就被称为SQl（恶意）注入操作。
    				
    	MyBatis中的#{}
    		还是上面那个例子
    		例如:
    			我要查询test表中enum1列的值为hotel的一条数据,SQL语句是这样写的:
    				select * from test t where  t.enum1=#{enum1}
    			正常情况下如上面图所示
    			这次还是对传入的数据进行一些更改，比如说将本应该正常输入的hotel修改为anything' OR 'a'='a则传入后最终SQL语句是这样的:
    				select * from test t where  t.enum1='anything\' OR \'x\'=\'x' 
    			从上述代码中可以看到所有单引号都被转移了，这都是JDBC中的PrepareStatement的功劳，如果在数据库服务端开启了预编译，则服务端来做这件事。
    			
    	总结:
    		通过${}传入的值将直接显示生成在SQL中，例如${enum1}传入为hotel，而通过#{}传入的值会为传入的值加上双引号，如#{enum1}传入后为'hotel'。
    		${}方式一般传入数据库对象、如传入表名、列明，当使用order by 传入动态参数排序时用$而不用#。
    		#{}方式能有效防止SQL注入，${}方式不能防止SQl注入。
    		一般情况下能够用#{}就不要用${}

参考自:  
[https://blog.csdn.net/u013552450/article/details/72528498][https_blog.csdn.net_u013552450_article_details_72528498]  
[https://my.oschina.net/kailuncen/blog/1235568][https_my.oschina.net_kailuncen_blog_1235568]

[https_blog.csdn.net_u013552450_article_details_72528498]: https://blog.csdn.net/u013552450/article/details/72528498
[https_my.oschina.net_kailuncen_blog_1235568]: https://my.oschina.net/kailuncen/blog/1235568