一个${}引发的惨案【MyBatis】

系统管理员 2022-10-29 07:36 168阅读 0赞

想必大家在MyBatis开发过程中，对\#\{\}和$\{\}符号很熟悉吧，很多面试官都很喜欢问\#\{\}和$\{\}之间的区别，那它们到底有什么区别呢？

一、MySQL预编译

在开始介绍\#\{\}和$\{\}之前，我们先来讲讲MySQL预编译的含义。

当客户端发送一条SQL语句给服务器后，服务器总是需要校验SQL语句的语法格式是否正确，然后把SQL语句编译成可执行的函数，最后才是执行SQL语句。其中校验语法，和编译所花的时间可能比执行SQL语句花的时间还要多。

如果我们需要执行多次Insert语句，但只是每次插入的值不同，MySQL服务器也是需要每次都去校验SQL语句的语法格式，以及编译，这就浪费了太多的时间。如果使用预编译功能，那么只对SQL语句进行一次语法校验和编译，效率会更高。

二、MyBatis执行过程

动态 SQL 是 MyBatis 的主要特性之一，在 Mapper 中定义的参数传到 xml 中之后，在查询之前 MyBatis 会对其进行动态解析。

MyBatis 为我们提供了两种支持动态 SQL 的语法：\#\{\} 以及 $\{\}，下面我们具体来介绍一下他们之间的区别。

三、\#\{\} 和 $\{\}

写过MyBatis代码的人都知道，\#\{\} 和 $\{\}都是作为SQL语句的占位符，来映射SQL需要的实际参数。

\#\{\} 和 $\{\}最大的区别在于：预编译处理方式不一样，\#\{\} 在预处理时，会把参数部分用一个占位符 ? 代替，而$\{\}在预处理会直接把参数和原本SQL拼接到一起。

预编译结束之后，MyBatis会执行动态解析，解析SQL并发送给MySQL执行，这个时候对于$\{\}而言，此时的SQL就是一条完整可执行的SQL，而对\#\{\} 而言，此时的SQL是带有？占位符的SQL，MySQL会进行进一步的处理。

> 这也就是为什么我们都推荐使用\#\{\} ，尽量少使用 $\{\}的原因，因为\#\{\}可以解决SQL注入的问题，$\{\}不行。

四、实例讲解

在下面的查询语句中，如果 orderId 的值为 202011081153，则两种方式无任何区别：

select * from order where orderId = #{orderId};
    select * from order where orderId = ${orderId};

其解析之后的结果均为

select * from order where orderId = 202011081153;

但是 \#\{\} 和 $\{\} 在预编译中的处理是不一样的。

\#\{\} 在预处理时，会把参数部分用一个占位符 ? 代替，变成如下的 SQL 语句：

select * from order where orderId = ?;

而 $\{\} 则只是简单的字符串替换，在动态解析阶段，该 SQL 语句会被解析成

select * from order where orderId = 202011081153;

以上，\#\{\} 的参数替换是发生在 DBMS 中，而 $\{\} 则发生在动态解析过程中。

> 那么，在使用过程中我们应该使用哪种方式呢？
> 
> 答案是：优先使用 \#\{\}。因为 $\{\} 会导致 SQL 注入的问题。

再看下面的例子：

select * from ${tableName} where name = #{name}

在这个例子中，如果表名为

order; delete  order; --

则动态解析之后 SQL 如下：

select * from order; delete order; -- where id = ?;

\--之后的语句被注释掉，而原本查询用户的语句变成了查询所有订单信息+删除订单表的语句，会对数据库造成重大损伤，极大可能导致服务器宕机。

> 但是表名用参数传递进来的时候，只能使用 $\{\} 。这也提醒我们在这种用法中要小心sql注入的问题。

五、总结

介绍到这边，想必童靴们现在肯定都知道它们之间的区别了，我们在日常写SQL的时候，尽可能采用\#\{\}，如果非要使用$\{\}，一定要做好参数校验，防止出现SQL注入。

**-----------------------**

**公众号：**林老师带你学编程

**网站：**wolzq.com

代码无非增删改查，关注老师给你Coding

![图片][0715eb9d950e28e2ed8775addb9af017.png]

**林老师带你学编程**：[https://wolzq.com][https_wolzq.com]

[0715eb9d950e28e2ed8775addb9af017.png]: /images/20221024/da6f0591c07a4595ace168fb0c3d2cf8.png
[https_wolzq.com]: https://wolzq.com/

发表评论取消回复

表情：

评论列表（有 0 条评论，168人围观）

还没有评论，来说两句吧...

相关阅读

相关同事被开除，一条SQL引发的惨案...

前言 `Insert into select请慎用`。这天xxx接到一个需求，需要将表A的数据迁移到表B中去做一个备份。本想通过程序先查询查出来然后批量插入。但x

╰+哭是因爲堅強的太久メ/ 2023年10月06日 21:12/ 0 赞/ 69 阅读

相关由RestTemplate引发的加班惨案

前言今天真是美好的一天呢，股市一如往常地绿，我一如往常地坐在办公桌前敲代码。上级交给我一个刷新历史数据的需求，一般刷新历史数据可以采用的方式有SQL脚本以及定时任务

雨点打透心脏的1/2处/ 2023年07月17日 06:15/ 0 赞/ 26 阅读

相关 nginx代理无法携带Cookie，导致session丢失引发的“惨案”

项目是前后端分离，前端用的react打包后的nginx配置如下： location /xxx{ gzip off;

太过爱你忘了你带给我的痛/ 2023年02月24日 03:53/ 0 赞/ 130 阅读

相关内网服务器DNS配置，引发的惨案

前言最近运维给我们组的一台内网服务器加内存，由于机器被重启，之前所有的服务都被停掉了，需要我们手动重启各个服务（以前的服务部署比较low）。事故报错当我用脚

雨点打透心脏的1/2处/ 2023年02月20日 07:15/ 0 赞/ 28 阅读

相关 jvm性能调优实战 - 38System.gcy引发的惨案

文章目录案例 Why 解决办法 ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_

悠悠/ 2023年01月16日 09:30/ 0 赞/ 162 阅读

相关一个${}引发的惨案【MyBatis】

想必大家在MyBatis开发过程中，对\\{\}和$\{\}符号很熟悉吧，很多面试官都很喜欢问\\{\}和$\{\}之间的区别，那它们到底有什么区别呢？一、MySQL预编译

系统管理员/ 2022年10月29日 07:36/ 0 赞/ 169 阅读

相关一个空格引发的“惨案“

![cfbd1f1ed36c6cdb374bd5a37356b685.gif][] “案情”回顾（情景模拟）：小张是一名软件工程师，工作兢兢业业、一丝不苟且精益求精，天性

缺乏、安全感/ 2022年10月14日 00:48/ 0 赞/ 172 阅读

相关 Nginx 缓存引发的跨域惨案

1. 前言贵金属wap版直播间上线后，偶尔有用户反馈，在进入wap直播间的时候，出现空白页面，但是重新刷新又可以正常显示了。我们曾一度认为是网络请求异常或兼容

向右看齐/ 2022年06月08日 22:27/ 0 赞/ 168 阅读

相关 kafka的maxPollIntervalMs设置太小引发的惨案

本地启动kafka后，不断报一下信息： ![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9

浅浅的花香味﹌/ 2022年03月20日 16:30/ 0 赞/ 284 阅读

相关问题备忘: httpclient连接池异常引发的惨案

1. 问题描述客户端A --> Ngnix --> 服务B Ngnix做服务B的负载，客户端访问服务B时，客户端偶尔会有抛出TimeoutException异常。

深藏阁楼爱情的钟/ 2021年06月11日 15:11/ 0 赞/ 989 阅读