mybatis #{} 和 ${} 解读及场景 (全网最全易懂)

红太狼 2024-03-25 12:51 113阅读 0赞

**省流：****\#\{\}****会给取出的值加双引号**

### \#\{\} 和 $\{\} ###

#### 案例 ####

先看一个案例。入参如果是map，在mapper.xml文件里，如果字段名使用map的key，值使用map的value。一般用循环遍历，将所有key和value都取出来。

代码如下：

select * from USER_LOG
    <where>
        <foreach collection="maps" index="index" item="item">
            AND ${index}=#{item}
        </foreach>
    </where>

**注意：$\{index\}=\#\{item\}，取字段名需要用****$\{\}****。**

#### 原理 ####

取字段名之所以用$\{\}，因为\#\{\}会给取出的值加双引号。如果字段名用\#\{\}来取，就成了where "xxx"="yyy"，值与值比较，所以条件的值是false，而非是将某个值给字段。

$\{\}取出的值不会加双引号，拼接后就是 where xxx="yyy"，这就将值给字段了。

#### sql注入问题 ####

八股文中，通常说\#\{\}和$\{\}区别是：**\#\{\}可以防止sql注入**。

那为什么可以防止注入？这时候就可以装批了：因为预编译时，占位符的位置，入参都被加双引号处理做成了字符串格式。

例如：

String sql = "select * from acct where password =  "+pwd;

对其注入的话，即前端传参如下：

String pwd = " '1' or 1=1 ";

这时候拼接上去，整句话就成了：

String sql = "select * from acct where password =  '1' or 1=1 ";
    //由于条件是 or 1=1，所以不管密码对还是错，都可以查出所有数据

但如果是把整个入参作为字符串，即加引号，就是这样：

String sql = "select * from acct where password =  '\'1\' or 1=1' ";

即等号后面是一个**整体**的值，假如把这个值存入数据库的话，看到的就是这样 **'1' or 1=1**

一不小心把防注入的原理也讲完了，可以拿去吹牛批了

发表评论取消回复

表情：

评论列表（有 0 条评论，113人围观）

还没有评论，来说两句吧...

相关阅读

相关 mybatis #{} 和 ${} 解读及场景 (全网最全易懂)

省流：\\{\}会给取出的值加双引号 \\{\} 和 $\{\} 案例先看一个案例。入参如果是map，在mapper.xml文件里，如果字段名使用map的key

红太狼/ 2024年03月25日 12:51/ 0 赞/ 114 阅读

相关 @Transactional失效原因【全网最易懂】 spring事务无效

省流：@Transactional生效：需接口调用。即，加了@Transactional的方法，需要有抽象方法，并且用接口调用这个抽象方法。其实很好理解。通俗一点，用接

àì夳堔傛蜴生んèń/ 2024年03月24日 11:17/ 0 赞/ 70 阅读

相关 sql coalesce函数 (全网最详细解读案例)

目录一、函数COALESCE 二、解读三、使用 1.0版本 2.0版本——行转列中会用到coalesce() 案例sql ---------------

深藏阁楼爱情的钟/ 2024年03月17日 12:32/ 0 赞/ 65 阅读

相关 MQTT解读【全网最易懂】

目录前言一、MQTT相比于TCP长连接的优势 1、协议更标准 2、MQTT协议制定好了很多利于物联网的功能 3、理解数据内容，用数据产生价值二、选择MQTT还

Bertha 。/ 2024年02月21日 08:39/ 0 赞/ 97 阅读

相关全网最全图解Kafka适用场景

消息系统消息系统被用于各种场景，如解耦数据生产者，缓存未处理的消息。Kafka 可作为传统的消息系统的替代者，与传统消息系统相比，kafka有更好的吞吐量、更好的可用性

ゞ浴缸里的玫瑰/ 2024年02月17日 09:50/ 0 赞/ 78 阅读

相关全网最全程序员效率工具及小技巧

命令行 CMD秒进指定目录效率低的操作 win+r，输入cmd，然后跳到指定目录 ![å¨è¿éæå¥å¾çæè¿°][20200505161416213

我会带着你远行/ 2023年02月23日 03:36/ 0 赞/ 142 阅读

相关算法和数据结构最全最易懂总结

Java从算法到架构 2019-05-02 22:24:33 本文采用Java语言来进行描述，帮大家好好梳理一下数据结构与算法，在工作和面试中用的上。亦即总结常见的的数据结构

偏执的太偏执、/ 2022年04月25日 05:52/ 0 赞/ 183 阅读

相关全网最通俗易懂的Kafka入门

前言 > 只有光头才能变强。 > > 文本已收录至我的GitHub仓库，欢迎Star：https://github.com/ZhongFuCheng3y/3y 在这篇之前

﹏ヽ暗。殇╰゛Y/ 2021年08月27日 21:11/ 0 赞/ 516 阅读

相关全网最通俗易懂的 Kafka 入门

众所周知，消息队列的产品有好几种，这里我选择学习Kafka的原因，无他，公司在用。 > 我司使用的是Kafka和自研的消息队列(Kafka和RocketMQ)改版，于是

绝地灬酷狼/ 2021年08月19日 14:16/ 0 赞/ 473 阅读

相关 IAP程序升级(全网最全)

![20210425223709862.png_pic_center][] 一、什么是IAP，为什么要IAP IAP即为In Application Programmi

你的名字/ 2021年05月12日 11:50/ 0 赞/ 671 阅读