#{}和${}的区别

在使用mybatis的时候我们会使用到#{}和${}这两个符号来为sql语句传参数

那么这两者有什么区别呢？

1.#{}是预编译处理，是占位符，${}是字符串替换，是拼接符

2.Mybatis在处理#{}的时候会将sql中的#{}替换成？号，调用PreparedStatement来赋值

如：select * from user where name = #{userName}；设userName=yuze

看日志我们可以看到解析时将#{userName}替换成了？

select * from user where name = ?;

然后再把yuze放进去，外面加上单引号

3.Mybatis在处理${}的时候就是把${}替换成变量的值，调用Statement来赋值

如：select * from user where name = #{userName}；设userName=yuze

看日志可以发现就是直接把值拼接上去了

select * from user where name = yuze;

这极有可能发生sql注入，下面举了一个简单的sql注入案例

4.#{}的变量替换是在DBMS中、变量替换后，#{}对应的变量自动加上单引号

5.${}的变量替换是在DBMS外、变量替换后，${}对应的变量不会加上单引号

6.使用#{}可以有效的防止sql注入，提高系统的安全性

下面举一个简单的sql注入问题：

这是一条用户的账号、密码数据

当用户登录，我们验证账号密码是否正确时用这个sql：

username=yyy;password=123

select * from user where username=${username} and password=${password}

显然这条sql没问题可以查出来，但是如果有人不知道密码但是想登录账号怎么办

我们不需要填写正确的密码：

密码输入1 or 1=1，sql执行的其实是

select * from user where username='yyy' and password=1 or 1 =1

注意：这里的yyy外面的单引号不是${}符号提供的。${}没有这个功能，可以是sql手动拼接的，这里前后逻辑可能并不严密，但是sql入去最简单的例子就是这样。

#{}和${}的区别相关推荐

RPC 笔记（01）— RPC概念、调用流程、RPC 与 Restful API 区别
1. 基本概念 PRC 远程过程调用 Remote Procedure Call,其就是一个节点请求另外一个节点提供的服务.当两个物理分离的子系统需要建立逻辑上的关联时,RPC 是牵线搭桥的常见技术手 ...
C++ 笔记（28）— C++ 中 NULL和 nullptr 的区别
最近看公司代码的时候发现在判断指针是否为空的时候,有的时候用的是 NULL, 有的时候用的是 nullptr 感觉很奇怪,好奇心驱使我查了下两者的区别,发现还是有很多细节需要学习的. 1. NULL ...
gcc 和 g++ 的联系和区别，使用 gcc 编译 c++
GCC 编译器已经为我们提供了调用它的接口,对于 C 语言或者 C++ 程序,可以通过执行 gcc 或者 g++ 指令来调用 GCC 编译器. 实际使用中我们更习惯使用 gcc 指令编译 C 语言程序 ...
Python2 与 Python3 区别
Python2.x 与 Python3.x 区别 1. print 函数 Python2 中 print 是语句(statement),Python3 中 print 则变成了函数.在 Python3 ...
Docker 入门系列（1）- 初识容器，镜像、容器、仓库的区别
Docker 简介 Docker 是一个开源的应用容器引擎,基于 Go 语言并遵从Apache2.0协议开源. Docker 可以让开发者打包他们的应用以及依赖包到一个轻量级.可移植的容器中,然后发 ...
HTTP 协议入门 — （TCP/IP协议族、通信传输流、URI 与 URL 的区别、Cookie 状态管理、HTTP 支持的方法、状态码类别、HTTP 首部字段）
TCP/IP协议族在介绍 HTTP 协议之前,我们先对 TCP/IP 协议族有个大概的了解,TCP/IP 协议从上到下主要分为应用层.传输层.网络层和数据链路层,各层的主要功能如下表所示: 协议层 ...
python二进制打开(rb)和文本格式打开(r)什么区别？
使用 open() 函数以文本格式打开文件和以二进制格式打开文件,唯一的区别是对文件中换行符的处理不同. 在 Windows 系统中,文件中用 "\r\n" 作为行末标识符(即换行 ...
python中__dict__与dir()区别
前言 Python下一切皆对象,每个对象都有多个属性(attribute),Python对属性有一套统一的管理方案. __dict__与dir()的区别: dir()是一个函数,返回的是list: _ ...
java和C#面向对象的区别
问题:C#中的构造函数和java的构造函数一样吗? 答: .net的项目中,写实体Entity属性时,经常会为每一个属性写一对get和set方法,在用到这个实体或是一个类时,通过new实例化一个对象, ...
判别模型和生成模型的区别
20210703 https://www.zhihu.com/question/20446337 机器学习"判定模型"和"生成模型"有什么区别? 重点 http ...

#{}和${}的区别

#{}和${}的区别相关推荐

最新文章

热门文章