在mybatis中#{}和${}的区别，使用场景及sql注入

曾经终败给现在 2022-03-09 09:48 457阅读 0赞

# 转载：[https://blog.csdn.net/ideality\_hunter/article/details/80623526][https_blog.csdn.net_ideality_hunter_article_details_80623526] #

[https://blog.csdn.net/weixin\_42323802/article/details/82425111][https_blog.csdn.net_weixin_42323802_article_details_82425111]

2018年09月05日 15:47:53 [打豆豆。][Link 1] 阅读数：1061 标签： [\#\{\}和$\{\} ][Link 2][\#\{\} ][Link 3][$\{\} ][Link 4] 更多

个人分类： [mybatis ][mybatis]

***在mybatis的  mapper.xml中，首先说下使用场景：***

\#\{ \}  ：\#代表占位符，用来传递参数；

$\{ \}  ：$用来拼接sql 语句的；*譬如：把数据库中的表名作为参数拼接在 sql 语句中，必须使用 $*

*mapper接口；*

1.  `//@Param 注解的作用如下`
2.  `//mapper接口中 ，给String tableName参数 起个名字叫tableName1`
3.  `// 这样mapper.xml 中 #{tableName1} 和${tableName1}可以拿到参数 tableName 的值`
4.  `public List<User> findUserByTableName(@Param("tableName1") String tableName);`

* mapper.xml 配置文件中添加 sql 语句；*

1.  `<select id="findUserByTableName" resultType="User">`
2.  ``
3.  `SELECT * from ${tableName1}`
4.  `</select>`

--------------------

***\#\{ \}和$\{ \}  区别如下：***

1、\#是预编译的方式，$是直接拼接；

2、\#不需要关注数据类型，mybatis实现自动数据类型转换；$不做数据类型转换，需要自行判断数据类型；

3、\#可以防止sql注入；$不能防止sql注入；

4、如果 parameterType 只有一个参数，默认情况下，\#\{ \}中可以写任意的名字；$\{ \}中只能用value来接收。

1.  ``
5.   
6.  `<select id="findUserById" parameterType="java.lang.Integer" resultType="model.User">`
7.  `select * from user where id=#{id}`
8.  `</select>`
9.  ``
10. `<select id="findUserByName" parameterType="String" resultType="model.User">`
11. `select * from user where name like '%${value}%';`

# sql注入，一个例子让你知道什么是sql注入 #

2018年06月08日 17:10:14 [Ideality\_hunter][Ideality_hunter] 阅读数：12469

sql注入，一个例子让你知道什么是sql注入

这篇文章说的非常好

https://www.cnblogs.com/sdya/p/4568548.html

![70][]

我就是按照文中例子，亲自在我之前用final框架做的项目中，操作了一遍，的确是实现了用户登录。

在不知道用户名和密码的情况下实现了用户登录

重现sql注入过程如下：

1、在用户名输入' or 1=1 --，然后随便输入一个密码

![70 1][]

2、点击登录，我竟然登录进去系统了。

为什么呢？

[debug][]一下源代码，就不难知道原因。

![70 2][]

点击登录，得到的sql语句是：

select \* from AUTH\_USER t where t.LOG\_IN\_NAME='' or 1=1 --' and  t.PASSWORD='gdd'

放入[oracle][]去执行：

![70 3][]

返回了所有的用户信息，这样authUser就肯定不是null了，表示数据库有相关用户，当然就算是登录成功了。

果不其然成功进入了系统[界面][Link 5]，这样用户就算是登录了，虽然是一个随机的一个用户，但是该用户的操作他都可以干，甚至如果知道框架的action地址，那么在浏览器中输入功能的action的地址，他想干什么就干什么了。

![70 4][]

[https_blog.csdn.net_ideality_hunter_article_details_80623526]: https://blog.csdn.net/ideality_hunter/article/details/80623526
[https_blog.csdn.net_weixin_42323802_article_details_82425111]: https://blog.csdn.net/weixin_42323802/article/details/82425111
[Link 1]: https://me.csdn.net/weixin_42323802
[Link 2]: http://so.csdn.net/so/search/s.do?q=#%7B%7D%E5%92%8C$%7B%7D&t=blog
[Link 3]: http://so.csdn.net/so/search/s.do?q=#%7B%7D&t=blog
[Link 4]: http://so.csdn.net/so/search/s.do?q=$%7B%7D&t=blog
[mybatis]: https://blog.csdn.net/weixin_42323802/article/category/8009258
[Ideality_hunter]: https://me.csdn.net/Ideality_hunter
[70]: /images/20220309/daba4f38573443298637f226e5a2ee95.png
[70 1]: /images/20220309/6d64a3be73df4ce98eb789470b636900.png
[debug]: https://www.baidu.com/s?wd=debug&tn=24004469_oem_dg&rsv_dl=gh_pl_sl_csd
[70 2]: /images/20220309/2e4cda0e47584018b87c7299aab2c35d.png
[oracle]: https://www.baidu.com/s?wd=oracle&tn=24004469_oem_dg&rsv_dl=gh_pl_sl_csd
[70 3]: /images/20220309/2a5d38730931445fbdb326cc3c787b85.png
[Link 5]: https://www.baidu.com/s?wd=%E7%95%8C%E9%9D%A2&tn=24004469_oem_dg&rsv_dl=gh_pl_sl_csd
[70 4]: /images/20220309/9206a08e2ef54210be2cb1541e7d66cb.png