在 MyBatis 的面試和日常開發(fā)中，參數(shù)占位符 #{} 和 ${} 的區(qū)別是繞不開的核心考點(diǎn)。很多同學(xué)只知道“#{} 安全，${} 不安全”，但其背后的底層原理和適用場景卻一知半解。本文將通過底層分析、日志演示以及 SQL 注入實(shí)驗(yàn)，帶你徹底搞定這個知識點(diǎn)。

一、 本質(zhì)區(qū)別速覽

二、 核心原理詳解

1. #{}：預(yù)編譯模式（推薦）

當(dāng) MyBatis 遇到 #{xxx} 時，它會將 SQL 發(fā)送到數(shù)據(jù)庫進(jìn)行預(yù)編譯。在執(zhí)行階段，再通過 PreparedStatement 設(shè)置參數(shù)。

• 示例代碼：

@Select("select * from user_info where username = #{name}")
UserInfo queryByName(String name);

• 打印日志（重點(diǎn)）：
  通過日志可以觀察到，SQL 中參數(shù)部分是 ? 占位符：
  PREPARE: select * from user_info where username = ?
• 優(yōu)勢：由于 SQL 結(jié)構(gòu)已固定，傳入的參數(shù)只會被當(dāng)作“值”處理，不會破壞 SQL 語義，從而徹底杜絕 SQL 注入。

2. ${}：字符串拼接模式（慎用）

${} 會在 SQL 執(zhí)行前，直接把參數(shù)原封不動地替換進(jìn) SQL 語句中。

• 示例代碼（報(bào)錯預(yù)警）：

@Select("select * from user_info where username = ${name}")
UserInfo queryByName(String name);

• 運(yùn)行結(jié)果：如果你傳入 admin，生成的 SQL 是 where username = admin。因?yàn)槿鄙賳我?，?shù)據(jù)庫會報(bào)錯。
• 正確寫法：必須手動加引號：'${name}'。

三、 SQL 注入（必考面試點(diǎn)）

SQL 注入是指攻擊者通過在輸入框中填入 SQL 片段，篡改原有邏輯的行為。

注入場景：免密登錄

假設(shè)我們有一段使用 ${} 的危險(xiǎn)代碼：

SELECT * FROM user WHERE username = '${name}' AND pwd = '${pwd}'

1. 正常操作：傳入用戶名 admin，密碼 123。
2. 攻擊操作：攻擊者在用戶名框輸入 admin' -- ，密碼隨便寫。
3. 最終生成的 SQL：

SELECT * FROM user WHERE username = 'admin' -- ' AND pwd = 'xxx'

在 SQL 中，-- 代表注釋。這意味著 AND pwd = ... 的邏輯被直接注銷掉了！攻擊者無需密碼即可直接以管理員身份登錄。

結(jié)論：絕不能使用 ${} 接收用戶輸入的參數(shù)！

四、 SQL 注入場景演示

控制層:UserTestController
注意自己所寫的類位置以及包

import com.example.demo.model.UserInfo;
import com.example.demo.service.UserService;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;
@RestController
public class UserTestController {
    @Autowired
    private UserTestService userService;
    @RequestMapping("/login")
    public boolean login(String name, String password) {
        UserInfo userInfo = userService.queryUserByPassword(name, password);
        if (userInfo != null) {
            return true;
        }
        return false;
    }
}

業(yè)務(wù)層:UserTestService

import com.example.demo.mapper.UserInfoMapper;
import com.example.demo.model.UserInfo;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Service;
@Service
public class UserTestService {
    @Autowired
    private UserInfoTestMapper userInfoMapper;
    public UserInfo queryUserByPassword(String name, String password) {
        List<UserInfo> userInfos = userInfoMapper.queryUserByPassword(name, password);
        if (userInfos != null && userInfos.size() > 0) {
            return userInfos.get(0);
        }
        return null;
    }
}

數(shù)據(jù)層:UserInfoTestMapper

import com.example.demo.model.UserInfo;
import org.apache.ibatis.annotations.*;
import java.util.List;
@Mapper
public interface UserInfoTestMapper {
    @Select("select username, `password`, age, gender, phone from user_info where username= '${name}' and password='${password}' ")
        List<UserInfo> queryUserByPassword(String name, String password);
}

啟動服務(wù),訪問:http://127.0.0.1:8080/login?name=admin&password=admin
程序正常運(yùn)行

接下來訪問SQL注?的代碼:
password設(shè)置為' or 1='1
拼接為：http://127.0.0.1:8080/login?name=admin&password=’ or 1='1
注意看網(wǎng)頁地址?。ò俜痔柡涂崭襁M(jìn)行了URL編碼，因?yàn)閁RL不允許直接添加特殊字符）

五、 ${} 的“唯一”合法使用場景

既然 ${} 這么危險(xiǎn)，為什么不廢掉它？因?yàn)樗谔幚?SQL 結(jié)構(gòu)時無可替代：

1. 動態(tài)表名：
   SELECT * FROM ${tableName}（#{} 無法用于表名，因?yàn)轭A(yù)編譯不支持表名占位）。
2. 動態(tài)排序字段：
   ORDER BY ${column} ${orderType}（如按 id 或 create_time 排序，且指定 ASC/DESC）。

安全建議：在使用這些場景時，必須在 Service 層做白名單校驗(yàn)，確保傳入的列名或表名是合法的。

六、 開發(fā)規(guī)范口訣

為了方便記憶，我們可以總結(jié)為一段口訣：

井號預(yù)編譯安全自帶引號，刀樂拼接危險(xiǎn)手動加引號；
業(yè)務(wù)參數(shù)全用井號，結(jié)構(gòu)關(guān)鍵字才用刀樂。

一句話總結(jié)：
平時開發(fā)無腦用 #{}；只有在需要動態(tài)傳遞表名、列名、排序關(guān)鍵字且已經(jīng)做好安全過濾的情況下，才考慮使用 ${}。

到此這篇關(guān)于MyBatis中#{}和${}的區(qū)別及底層原理、適用場景和安全風(fēng)險(xiǎn)的文章就介紹到這了,更多相關(guān)MyBatis中#{}和${}的區(qū)別內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

最新評論