mybatis #{} 和 ${} 解读及场景 (全网最全易懂)

红太狼 2024-03-25 12:51 72阅读 0赞

**省流：****\#\{\}****会给取出的值加双引号**

### \#\{\} 和 $\{\} ###

#### 案例 ####

先看一个案例。入参如果是map，在mapper.xml文件里，如果字段名使用map的key，值使用map的value。一般用循环遍历，将所有key和value都取出来。

代码如下：

select * from USER_LOG
    <where>
        <foreach collection="maps" index="index" item="item">
            AND ${index}=#{item}
        </foreach>
    </where>

**注意：$\{index\}=\#\{item\}，取字段名需要用****$\{\}****。**

#### 原理 ####

取字段名之所以用$\{\}，因为\#\{\}会给取出的值加双引号。如果字段名用\#\{\}来取，就成了where "xxx"="yyy"，值与值比较，所以条件的值是false，而非是将某个值给字段。

$\{\}取出的值不会加双引号，拼接后就是 where xxx="yyy"，这就将值给字段了。

#### sql注入问题 ####

八股文中，通常说\#\{\}和$\{\}区别是：**\#\{\}可以防止sql注入**。

那为什么可以防止注入？这时候就可以装批了：因为预编译时，占位符的位置，入参都被加双引号处理做成了字符串格式。

例如：

String sql = "select * from acct where password =  "+pwd;

对其注入的话，即前端传参如下：

String pwd = " '1' or 1=1 ";

这时候拼接上去，整句话就成了：

String sql = "select * from acct where password =  '1' or 1=1 ";
    //由于条件是 or 1=1，所以不管密码对还是错，都可以查出所有数据

但如果是把整个入参作为字符串，即加引号，就是这样：

String sql = "select * from acct where password =  '\'1\' or 1=1' ";

即等号后面是一个**整体**的值，假如把这个值存入数据库的话，看到的就是这样 **'1' or 1=1**

一不小心把防注入的原理也讲完了，可以拿去吹牛批了

发表评论取消回复

表情：

评论列表（有 0 条评论，72人围观）

还没有评论，来说两句吧...

相关阅读

相关全网最全synchronized锁升级过程

一、前言在面试题中经常会有这么一道面试题，谈一下`synchronized锁升级过程`？之前背了一些，很多文章也说了，到底怎么什么条件才会触发升级，一直不太明白。

悠悠/ 2024年02月21日 10:01/ 0 赞/ 50 阅读

相关 mysql系列：全网最全索引类型汇总

前言除了常见的普通索引，唯一索引，组合索引，大家还能说一下mysql中有哪些其他类型的索引吗？ -------------------- 今天和大家一起总结mysq

谁借莪１个温暖的怀抱￠/ 2022年12月10日 11:26/ 0 赞/ 237 阅读

相关全网最全Python环境小白篇

![format_png][] 根据目前参加的学员，小编收集了一些问题。其实大多数小白还没开始就结束了？这个是为什么呢？因为，99%的人都卡在了环境配置，搭建环境。各种

矫情吗；*/ 2022年12月02日 15:29/ 0 赞/ 212 阅读

相关全网最全的 postman 工具使用教程

大家好，我是乔戈里~ postman是一款支持http协议的接口调试与测试工具，其主要特点就是功能强大，使用简单且易用性好。无论是开发人员进行接口调试，还是测试人

本是古典何须时尚/ 2022年09月11日 05:09/ 0 赞/ 257 阅读

相关全网最全的 postman 工具使用教程

点击关注公众号，利用碎片时间学习![886f9257e50929de931823987b192ea2.png][] postman是一款支持http协议的接口调试与测试工具，

古城微笑少年丶/ 2022年09月06日 04:59/ 0 赞/ 360 阅读

相关算法和数据结构最全最易懂总结

Java从算法到架构 2019-05-02 22:24:33 本文采用Java语言来进行描述，帮大家好好梳理一下数据结构与算法，在工作和面试中用的上。亦即总结常见的的数据结构

偏执的太偏执、/ 2022年04月25日 05:52/ 0 赞/ 150 阅读

相关全网最全Linux命令总结！！（史上最全，建议收藏）

大家好，我是冰河~~ 最近家里的事情太多了，很久没更新技术文了。期间，也收到了很多小伙伴的鼓励，谢谢大家的帮助和支持，我想感谢大家最好的方式就是持续分享好的技术文章了吧，让自

刺骨的言语ヽ痛彻心扉/ 2021年09月08日 08:44/ 0 赞/ 606 阅读

相关全网最通俗易懂的Kafka入门

前言 > 只有光头才能变强。 > > 文本已收录至我的GitHub仓库，欢迎Star：https://github.com/ZhongFuCheng3y/3y 在这篇之前

﹏ヽ暗。殇╰゛Y/ 2021年08月27日 21:11/ 0 赞/ 465 阅读

相关全网最通俗易懂的 Kafka 入门

众所周知，消息队列的产品有好几种，这里我选择学习Kafka的原因，无他，公司在用。 > 我司使用的是Kafka和自研的消息队列(Kafka和RocketMQ)改版，于是

绝地灬酷狼/ 2021年08月19日 14:16/ 0 赞/ 418 阅读

相关 IAP程序升级(全网最全)

![20210425223709862.png_pic_center][] 一、什么是IAP，为什么要IAP IAP即为In Application Programmi

你的名字/ 2021年05月12日 11:50/ 0 赞/ 617 阅读