${param}與#{param}的區(qū)別

${param}表達(dá)式主要用戶獲取配置文件數(shù)據(jù)，DAO接口中的參數(shù)信息，當(dāng) $ 出現(xiàn)在映射文件的 SQl 語(yǔ)句中時(shí)創(chuàng)建的不是預(yù)編譯的 SQL ，而是字符串的拼接有可能會(huì)導(dǎo)致 SQL 注入的問題，所以一般使用 $ 接收 DAO 參數(shù)時(shí)，這些參數(shù)一般是字段名，表名等.例如 order by {column}

#{param} 表達(dá)式主要是用戶獲取 DAO 中的參數(shù)數(shù)據(jù)，在映射文件的SQL 語(yǔ)句中出現(xiàn) #{} 表達(dá)式，底層會(huì)創(chuàng)建預(yù)編譯的 SQL .性能會(huì)相對(duì)較好

${} 獲取 DAO 參數(shù)數(shù)據(jù)時(shí)，參數(shù)必須使用 ＠param 注解進(jìn)行修飾

#{} 獲取 DAO 參數(shù)數(shù)據(jù)時(shí)，假如參數(shù)個(gè)數(shù)多于一個(gè)，可有選擇的使用@param

Mybatis中#{}與${}使用總結(jié)

#{ }與${ }的區(qū)別

1、#{ }將傳入的數(shù)據(jù)都當(dāng)成一個(gè)字符串，會(huì)對(duì)自動(dòng)傳入的數(shù)據(jù)加一個(gè)雙引號(hào)。 如：

delete from user where name= #{name}

實(shí)際相當(dāng)于一個(gè)占位符：

delete from user where name= ？

如果傳入的值是123,那么解析成sql時(shí)的值為 delete from user where name= 123, 如果傳入的值是字符串 Rose，則解析成的sql為delete from user where name= 'Rose'

2、${ }將傳入的數(shù)據(jù)直接顯示生成在sql中，即原樣拼接。對(duì)于

delete from user where name= ${name}

如果傳入的值int類型的123,那么解析成sql時(shí)的值為

delete from user where name= 123

如果傳入的值是字符串Rose，則解析成的sql為

delete from user where name= Rose

這樣就是錯(cuò)誤的,必須將原來的語(yǔ)句改為

delete from user where name= '${name}'

3、#方式能夠防止sql注入；$方式無(wú)法防止Sql注入

$方式一般用于傳入數(shù)據(jù)庫(kù)對(duì)象，例如傳入表名

默認(rèn)情況下，使用#{}格式的語(yǔ)法會(huì)導(dǎo)致MyBatis創(chuàng)建預(yù)處理語(yǔ)句屬性并以它為背景設(shè)置安全的值。這樣做很安全，很迅速也是首選做法，有時(shí)只是想直接在SQL語(yǔ)句中插入一個(gè)不改變的字符串,可以使用${ }。

使用總結(jié)

1、#{ }：多用于傳遞查詢的參數(shù)；一般用在用戶輸入值的地方，在sql中：字段 比較符號(hào)（=、>、<、!=、<>） #{用戶輸入的值}；

• 如果傳遞參數(shù)是基本類型（非字符類型），獲取參數(shù)是原樣獲取， 如果是字符串，#{}獲取時(shí)會(huì)自動(dòng)給加一個(gè)引號(hào)。
• 對(duì)于基本類型和String類型可以在#{ }內(nèi)任意填寫，一半填寫對(duì)應(yīng)值。

2、${ }：一般用于傳入數(shù)據(jù)庫(kù)對(duì)象，例如傳入表名，如：$(表名)；一般用于order by的后面，如：order by $(字段)；表名作為變量時(shí)，必須使用 ${ }；用在我們能夠確定值的地方，也就是我們程序員自己賦值的地方；

• 如果傳遞是基本類型的闡述，int，String等等。${}只能寫value，如${value}

3、如果傳遞參數(shù)是對(duì)象：#{}和${}都是ognl表達(dá)式來獲取 （對(duì)象導(dǎo)航語(yǔ)言 屬性.屬性.屬性）

• 如：

<update id="updateUserByID" parameterType="domain.User">
?update user set username=#{username},sex=#{sex},birthday=#{birthday} where id=#{id}
</update>

• #{}內(nèi)的內(nèi)容必須是User對(duì)應(yīng)的屬性值。

以上為個(gè)人經(jīng)驗(yàn)，希望能給大家一個(gè)參考，也希望大家多多支持腳本之家。

最新評(píng)論