Mybatis的#{}与${}占位符

在使用Mybatis配置SQL语句时，SQL语句中的参数可以使用#{}格式的占位符，还可以使用${}占位符。

在MySQL处理SQL语句时，会经过词法分析、语义分析，然后再执行编译，最终执行！

在Mybatis中，使用#{}格式占位符，在底层实现时，是预编译的，先将sql语句拼接好，再将值替换到占位符处，不用考虑数据类型的问题，因为所有的数据会看成值。使用预编译处理机制是安全的，因为预编译的占位符处指挥认为是值，例如“a=1 or 1=1”只会被看作是值，orl连接词在sql语句中不起作用，所以不会出现SQL注入问题

使用${}格式的占位符，在底层实现时，会先将值拼接到原SQL语句中，然后再执行编译的相关流程！由于不是预编译的，字符串、日期等类型的值需要添加一对单引号，否则，将被视为字段名、运算表达式等，由于是先代入值再执行编译相关流程，所以，代入的值是可以改变语义的，是存在SQL注入风险的！这种做法中，${}占位符可以表示SQL语句中的任何片段，只需要保证拼接起来后可以通过编译即可！

在SQL语句中，除了关键词、数值、运算符、函数名等非常固定的内容以外，所有内容都会被视为某个名字，例如：表名、字段名或其它自定义的名称（例如索引名等），比较典型的应用。在SQL语句中，只有将值使用一对双引号框住（数值除外），才会被认为是“值”！

例子：

<select id="getStandardById" resultMap="StandardResultMap">SELECT<include refid="StandardQueryFields"/>FROMpms_albumWHEREid=#{id}
</select>

使用#{}或${}格式的占位符均可正常通过测试！

<select id="countByName" resultType="int">SELECT count(*) FROM pms_album WHERE name=#{name}
</select>

使用#{}格式的占位符可以正常通过测试，但是，使用${}格式的占位符则会出现下面错误：

Cause: java.sql.SQLSyntaxErrorException: Unknown column '小米13的相册' in 'where clause'
; bad SQL grammar []; nested exception is java.sql.SQLSyntaxErrorException: Unknown column '小米13的相册' in 'where clause'

SQL语句中将测试参数 小米13的相册 作为了列名（字段名）

Mybatis的#{}与${}占位符相关推荐

Mybatis的参数占位符
mybatis支持参数占位符不过和JDBC的不同,JDBC是?,而mybatis对于字符参数和非字符参数提供了两种不同的参数占位符,非字符使用#{},而字符类型的参数则要使用${} 当使用模糊查询 ...
Mybatis中的#{}占位符
Mybatis中的#{}占位符在Mybatis中配置SQL时,可以使用#{}格式的占位符来表示SQL语句中的参数,在占位符的大括号中,当抽象方法只有1个基本值(基本数据类型对应的值,和String) ...
Mybatis之占位符与拼接符
1.占位符 1.1 含义: 在持久化框架中,为了将约束条件中的可变参数从sql中分离出来,在原有的参数位置使用特殊的标记来标记该位置,后期通过代码给sql传递参数(即实现sql与代码分离开).这个特 ...
mybatis多个参数(不使用@param注解情况下)，sql参数占位符正确写法
转载自 mybatis多个参数(不使用@param注解情况下),sql参数占位符正确写法 useActualParamName配置 useActualParamName 允许使用方法签名中的名称作为 ...
MyBatis复习(四)：#{}占位符与SQL传参
参数类型 1. MyBatis的parameterType参数类型可以是基本数据类型.String.包装类型.java.util.Map.java.util.LinkHashMapd等 ${}和#{} ...
Mybatis日志参数快速替换占位符工具
Mybatis log printf工具网页地址: http://www.feedme.ltd/log.html Mybatis执行的sql的打印格式为: 2020-08-04 09:16:44 -D ...
MyBatis——占位符，转义字符，多元素查询（模糊查询），动态sql(多条件中多查询，多条件中单查询)
占位符:${},#{} ${}:充当占位符时,无法防止sql注入,纯纯的外面给啥,他就往上放啥 #{}:充当-,可以防止sql注入实体类: package com.itjh.pojo;public ...
【Mybatis】占位符#{}和${}的区别
#{}是占位符,${}是拼接符. #{}将传入的数据都当成一个字符串,会对自动传入的数据加一个双引号.如:order by #user_id#,如果传入的值是111,那么解析成sql时的值为ord ...
MyBatis -- 参数占位符 #{} 和 ${}
MyBatis -- 参数占位符 #{} 和 ${} 一.准备工作二.参数占位符 #{} 和 ${} 三.特殊场景 3.1 特殊场景 1 -- String 3.1.1 使用 #{} 3.1.2 使 ...

Mybatis的#{}与${}占位符

Mybatis的#{}与${}占位符相关推荐

最新文章

热门文章