（七）Mybatis当中#{}和${}的区别详解

秒速五厘米 2022-12-20 05:54 364阅读 0赞

这篇文章主要讲述Mybatis当中\#\{\}和$\{\]的区别，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧。

## \#和$的区别 ##

\#\{key\}：获取参数的值，预编译到SQL中。安全。  
$\{key\}：获取参数的值，拼接到SQL中。有SQL注入问题。

两个都可以用来获取参数的值，但是$可以完成一些\#完不成的，比如传输表名称，和排序字段名称等。

## 什么是SQL注入 ##

也就是假如有不法分子，知道了你这个地方是用$接值的，他直接可以在参数当中传入自己想要执行的sql，在管理员不知情的情况下实现非法操作。

## 代码示例 ##

xml映射sql语句,这里我们用\*\*$接值\*\*，连表名我们也是动态传值的。

<select id="getEmpByMap" resultType="com.gzl.mybatis.bean.Employee">
    	select * from ${ tableName} where id=${ id} and last_name=${ lastName}
    </select>

这里我们可以看出，他直接就把参数当成sql语句，拼接到sql当中了。  
![在这里插入图片描述][20201111183214987.png_pic_center]  
**\#接值**

<select id="getEmpByMap" resultType="com.gzl.mybatis.bean.Employee">
    	select * from #{ tableName} where id=#{ id} and last_name=#{ lastName}
    </select>

这时候会发现，他执行的时候直接就报错，\#不能动态传表名，**原生jdbc不支持表名做占位符的。包括排序字段名称也是**。  
![在这里插入图片描述][20201111185038148.png_pic_center]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzg4ODg5MQ_size_16_color_FFFFFF_t_70_pic_center]

## 总结 ##

能通过\#来接值的，尽量不要用$。  
比如分表、排序。。。；按照年份分表拆分  
select \* from $\{year\}\_salary where xxx;  
select \* from tbl\_employee order by $\{f\_name\} $\{order\}

[20201111183214987.png_pic_center]: /images/20221120/e3b94d7b77fa43fd9478fc2db0e8c727.png
[20201111185038148.png_pic_center]: /images/20221120/ba74b4bbed024b08b82f6c9f859505c3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzg4ODg5MQ_size_16_color_FFFFFF_t_70_pic_center]: /images/20221120/71233894f3de4636a1cb36a5586f26f4.png