MyBatis #{} 和 ${} 的区别详解

曾经终败给现在 2022-10-22 12:53 232阅读 0赞

转载自：[https://www.cnblogs.com/donleo123/p/11672878.html][https_www.cnblogs.com_donleo123_p_11672878.html]

# 叙述 #

*  \#将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：order by \#user\_id\#，如果传入的值是111,那么解析成sql时的值为order by "111", 如果传入的值是id，则解析成的sql为order by "id".
 *  将传入的数据直接显示生成在sql中。如：orderby将传入的数据直接显示生成在sql中。如：orderbyuser\_id$，如果传入的值是111,那么解析成sql时的值为order by user\_id, 如果传入的值是id，则解析成的sql为order by id.
 *  \#方式能够很大程度防止sql注入。
 *  $方式无法防止Sql注入。
 *  $方式一般用于传入数据库对象，例如传入表名.
 *  一般能用\#的就别用$.
 *  MyBatis排序时使用order by 动态参数时需要注意，用$而不是\#

## 解析 ##

动态 sql 是 mybatis 的主要特性之一，在 mapper 中定义的参数传到 xml 中之后，在查询之前 mybatis 会对其进行动态解析。mybatis 为我们提供了两种支持动态 sql 的语法：\#\{\} 以及 $\{\}。

在下面的语句中，如果 name 的值为 zhangsan，则两种方式无任何区别：

select * from user where name = #{name};
    select * from user where name = ${name};

其解析之后的结果均为

select * from user where name = 'zhangsan';

但是 \#\{\} 和 $\{\} 在预编译中的处理是不一样的。

\#\{\} 在预处理时，会把参数部分用一个占位符 ? 代替，变成如下的 sql 语句：

select * from user where name = ?;

而 $\{\} 则只是简单的字符串替换，在动态解析阶段，该 sql 语句会被解析成

select * from user where name = 'zhangsan';

以上，**\#\{\} 的参数替换是发生在 DBMS 中，而 $\{\} 则发生在动态解析过程中**。