码迷,mamicode.com
首页 > 其他好文 > 详细

Mybatis中#{}和${}

时间:2020-06-11 19:43:05      阅读:71      评论:0      收藏:0      [点我收藏+]

标签:过滤   prepare   直接   字符串   动态   col   tis   name   自动   

1、#{}将传入的数据都当成一个字符串,会对自动传入的数据加一个引号(单引号?双引号?加了引号就对了)如:

//传入的值是sex
order by #{column}

解析后为

order by “sex” //将会出错

2、${}将传入的数据直接显示生成在sql中,如:

//传入的值是sex
order by ${column}

解析后为

order by sex //正确的

3、#{}可以在很大程度上防止sql注入,${}无法防止sql注入

4、${}一般用于传入数据库对象,例如传入表名(mybatis动态查询)

6、能用#就别用$

#使用了PreparedStatement来进行预处理,然后用set的方式对占位符进行设置;

$则是通过Statement直接进行查询,当有参数时直接进行拼接进行查询。(具体大家可以去看jdbc里面的PreparedStatement和Statement的处理方式不同)

mybatis在对SQL语句进行预编译之前,会对SQL进行动态解析,#{}和${}会有不同的变现。

在下面的语句中,name值为zhangsan,下面两种方式得到的结果没有区别

1、select * from user where name  = #{name};
2、select * from user where name  = ${name};

得到的解析后的结果均为

select * from user where name = ‘zhangsan‘

但是#{}在动态解析的时候,会把参数部分解析成一个占位符?代替

select * from user where name = #{name};
动态解析为
select * from user where name = ?; 

而${}则是简单的字符替换,在动态解析阶段,该sql会被解析成

select * from user where name = ‘zhangsan‘;

以上,#{} 的参数替换是发生在 DBMS(数据库管理系统) 中,而 ${} 则发生在动态解析过程中。

针对上面的sql,如果传入的值是;drop table user;,

那么第一条用#{}的sql解析为:

select * from user where name = “;drop table user;” //查不到东西

那么第二条用${}的sql解析为:

select * from user where name = ;drop table user;//会出错
传入的应该name = lhh;drop table user;才对啊,要是name=;本来就会有错;

这时候已经sql注入了。

优先使用 #{}。因为 ${} 会导致 sql 注入的问题。

若不得不使用“${xxx}”这样的参数,要手工地做好过滤工作,来防止sql注入攻击。

Mybatis中#{}和${}

标签:过滤   prepare   直接   字符串   动态   col   tis   name   自动   

原文地址:https://www.cnblogs.com/zhangzhiping35/p/13095192.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!