MyBatis中的#{}和${}有什么区别？

素颜马尾好姑娘i 2024-03-17 09:40 13阅读 0赞

首先\#\{\} 和 $\{\} 都是参数占位符，其中\#\{\}是预编译处理，$\{\}是字符直接进行替换。预编译处理是指：MyBatis 在处理\#\{\}时，会将 SQL 中的 \#\{\} 替换为?号，使⽤ PreparedStatement 的 set ⽅法来赋值。直接替换是指MyBatis 在处理 $\{\} 时，就是把 $\{\} 替换成变量的值。

其中\#\{\}与JDBC中的PreparedStatement的作用类似，都可以防止sql注入问题。

但是在单表查询中，他们都可能会带来越权查询和操作数据等问题。下面详细列出实例：

**使用****\#****\{\}****得到JDBC的代码如下:【针对****int****类型的参数】**

![425ce7428cce42dd8ddc06051c5170d4.png][]

**使用****$\{\}****得到JDBC的代码如下:【针对****int****类型的参数】**

![1d09cb25b73c401aba7ed5872095ea9f.png][] **使用****$\{\}****得到JDBC的代码如下:【针对****String****类型的参数】**

![94e1058d9b5049078ed7f1c76014617f.png][]

不难看出这个时候sql语法报错了。

**使用****\#\{\}****得到JDBC的代码如下:【针对****String****类型的参数】**

![4da0493f30194a1ea64679ee75f963d1.png][]

到这里我们就已经可以看出来一些区别了：

1.定义不同: \#\{\}是预处理;而$\{\}是直接替换。

2.使用不同: \#\{\}适用于所有类型的参数匹配;但$\{\}只适用数值类型。

3.安全性不同: \#\{\}性能高，因为他使用占位符已经预编译了，并且没有安全问题; 但$\{\}存在SQL注入的安全问题（下面会给出示例）。

**那再谈谈\#\{\}和$\{\}的各自使用场景：**

1.$\{\}的使用场景：（对数据进行排序的时候）

![8bb53198c2124339a36fd7cca9976248.png][]

**但是如果此时使用\#\{\}就会报sql语法错误，因为此时需要传递的是SQL关键字。**

![4e4beed2bea148cd9e411d3dc04360f4.png][]

**到这里咱们又可以对\#\{\}和$\{\}做一个小结：**

当传递的是一个SQI.关键字（SQI命令）的时候，只能使用$\{\}，此时如果使用\#\{\}就会认为传递的为一个普通的值，而非SQL命令，他在替换的时候会自动加上’’号，所以执行就会报错。

接下来咱们继续说说刚才在上面总结的那样，$\{\}存在SQL注入的安全问题。

咱们在实现用户登录功能这个场景下，通常需要获取用户名和密码来校验是否正确，那么这个时候就会出现问题，我们先来正常的查询：

![79e143c8a27f428c892b42784f8a1292.png][]

再继续看SQL注入的有安全问题：

![17e8b30395fe473ebbab9296df8c939e.png][]

在sql语法中，1=’1’是正确的，所以这条sql语句也是可以执行的。所以当不得不使用$时，那么一定要在业务代码中，对传递的值进行安全效验。

**最后再看看like查询这种场景。**

使用\#\{\}:

![19df98192a1a4be5be6435a1ed3e848d.png][]

但是使用$\{\}就可以了：

![7061d407b329422fa98192ad50cd1839.png][]

但是使用$\{\}还是有安全风险，因为模拟查询的时候，不知道用户传来的是什么数据，我们也不能一一穷举出来去规避，那么此时使用\#\{\}的时候还有一种方法可以避免安全问题：

![27b9fa809567431e81687f9a97e1084d.png][] ![4b272430137149e382bce29882a6b6c1.png][]

[425ce7428cce42dd8ddc06051c5170d4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/17/08f6b64d3ee842bcbc27fd3b074a6d31.png
[1d09cb25b73c401aba7ed5872095ea9f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/17/b939c49d70d94861b491887a7064b8f5.png
[94e1058d9b5049078ed7f1c76014617f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/17/13eabb6579364caf991fd018bc19496e.png
[4da0493f30194a1ea64679ee75f963d1.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/17/266aa03e43f74747810190d855782189.png
[8bb53198c2124339a36fd7cca9976248.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/17/0aeea0aa654f4606904f55e7a4e18315.png
[4e4beed2bea148cd9e411d3dc04360f4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/17/7eba9ea3166c4968bcce610f1933dee8.png
[79e143c8a27f428c892b42784f8a1292.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/17/24487d2f6fa449678fbebcf265b6450c.png
[17e8b30395fe473ebbab9296df8c939e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/17/33a77043b92a44a8bc62824bb2550e27.png
[19df98192a1a4be5be6435a1ed3e848d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/17/1c2ff124264447ee821024e877c56348.png
[7061d407b329422fa98192ad50cd1839.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/17/03bcdfaad50844e3a6c19ba0edaed0ea.png
[27b9fa809567431e81687f9a97e1084d.png]: https://img-blog.csdnimg.cn/27b9fa809567431e81687f9a97e1084d.png
[4b272430137149e382bce29882a6b6c1.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/17/c7a003b56f7248f9b6e385410500ecdb.png