mysql中#{}和${}的區(qū)別詳解
#{}會(huì)將傳入的數(shù)據(jù)當(dāng)成一個(gè)字符串，會(huì)對(duì)自動(dòng)傳入的數(shù)據(jù)加一個(gè)雙引號(hào)
order by #{userId}
這里假如userId = 111，那么解析成sql時(shí)會(huì)變成 order by "111"
這里如果userId = idStr，那么解析成sql時(shí)會(huì)變成 order by "idStr"
${}會(huì)將傳入的數(shù)據(jù)直接顯示生成在sql中
order by #{userId}
這里假如userId = 111，那么解析成sql時(shí)會(huì)變成 order by 111
這里如果userId = idStr，那么解析成sql時(shí)會(huì)變成 order by idStr
#方式能夠很大程度防止sql注入；$方式無(wú)法防止Sql注入。
$方式一般用于傳入數(shù)據(jù)庫(kù)對(duì)象，例如傳入表名。
一般能用#的就別用$。MyBatis排序時(shí)使用order by 動(dòng)態(tài)參數(shù)時(shí)需要注意，用$而不是#。
默認(rèn)情況下，使用#{}格式的語(yǔ)法會(huì)導(dǎo)致MyBatis創(chuàng)建預(yù)處理語(yǔ)句屬性并以它為背景設(shè)置安全的值（比如?）。這樣做很安全，很迅速也是首選做法，有時(shí)你只是想直接在SQL語(yǔ)句中插入一個(gè)不改變的字符串。比如，像ORDER BY，你可以這樣來(lái)使用：
ORDER BY ${columnName}; 這里MyBatis不會(huì)修改或轉(zhuǎn)義字符串。
例子：
在沒(méi)有做防Sql注入的時(shí)候，我們的Sql語(yǔ)句可能是這么寫的：
<select id="fetchStudentByName" parameterType="String" resultType="entity.StudentEntity"> SELECT id,name,age FROM student WHERE name = '${value}' </select>
但如果我們對(duì)傳入的姓名參數(shù)做一些更改，比如改成anything’ OR ‘x’='x，那么拼接而成的Sql就變成了
SELECT id,name,age FROM student WHERE name = 'anything' OR 'x'='x'
庫(kù)里面所有的學(xué)生信息都被拉了出來(lái)，是不是很可怕。原因就是傳入的anything’ OR ‘x’='x和原有的單引號(hào)，正好組成了 ‘anything’ OR ‘x’='x’，而OR后面恒等于1，所以等于對(duì)這個(gè)庫(kù)執(zhí)行了查所有的操作。
防范Sql注入的話，就是要把整個(gè)anything’ OR ‘x’='x中的單引號(hào)作為參數(shù)的一部分，而不是和Sql中的單引號(hào)進(jìn)行拼接
使用了#即可在Mybatis中對(duì)參數(shù)進(jìn)行轉(zhuǎn)義
<select id="fetchStudentByName" parameterType="String" resultType="entity.StudentEntity"> SELECT id,name,age FROM student WHERE name = #{name} </select>我們看一下發(fā)送到數(shù)據(jù)庫(kù)端的Sql語(yǔ)句長(zhǎng)什么樣子。
SELECT id,name,age FROM student WHERE name = 'anything\' OR \'x\'=\'x'
到此這篇關(guān)于mysql中#{}和${}的區(qū)別的文章就介紹到這了,更多相關(guān)mysql中#{}和${}的區(qū)別內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！
相關(guān)文章
今天小編就為大家分享一篇關(guān)于MySQL存儲(chǔ)文本和圖片的方法，小編覺(jué)得內(nèi)容挺不錯(cuò)的，現(xiàn)在分享給大家，具有很好的參考價(jià)值，需要的朋友一起跟隨小編來(lái)看看吧2019-03-03
MySQL UNION操作符基礎(chǔ)知識(shí)點(diǎn)
在本文里小編給大家整理了關(guān)于MySQL UNION操作符的相關(guān)知識(shí)點(diǎn)內(nèi)容，需要的朋友們跟著學(xué)習(xí)下。2019-02-02
MySQL 查找價(jià)格最高的圖書經(jīng)銷商的幾種SQL語(yǔ)句
不同的圖書，在不同的經(jīng)銷商的價(jià)格不同，我們這里要找到每種圖書最高的經(jīng)銷商是誰(shuí)？ 找最低的類似了。2009-07-07
mysql實(shí)現(xiàn)將data文件直接導(dǎo)入數(shù)據(jù)庫(kù)文件
這篇文章主要介紹了mysql實(shí)現(xiàn)將data文件直接導(dǎo)入數(shù)據(jù)庫(kù)文件問(wèn)題，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。如有錯(cuò)誤或未考慮完全的地方，望不吝賜教2023-03-03
MySql存儲(chǔ)過(guò)程循環(huán)的使用分析詳解
這篇文章主要介紹了MySql存儲(chǔ)過(guò)程循環(huán)的使用分析詳解，文章圍繞主題展開(kāi)詳細(xì)的內(nèi)容介紹，具有一定的參考價(jià)值，感興趣的小伙伴可以參考一下2022-06-06
Mysql中的排序規(guī)則utf8_unicode_ci、utf8_general_ci的區(qū)別總結(jié)
Mysql中utf8_general_ci與utf8_unicode_ci有什么區(qū)別呢？在編程語(yǔ)言中，通常用unicode對(duì)中文字符做處理，防止出現(xiàn)亂碼，那么在MySQL里，為什么大家都使用utf8_general_ci而不是utf8_unicode_ci呢？2014-04-04
這篇文章主要給大家介紹了關(guān)于MySQL用戶賬戶管理和權(quán)限管理的相關(guān)資料，文中通過(guò)示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2018-12-12
MySql 索引、鎖、事務(wù)知識(shí)點(diǎn)小結(jié)
這篇文章主要介紹了MySql 索引、鎖、事務(wù)知識(shí)點(diǎn),總結(jié)分析了mysql數(shù)據(jù)庫(kù)中關(guān)于索引、鎖和事務(wù)的概念、原理、知識(shí)點(diǎn)及相關(guān)注意事項(xiàng),需要的朋友可以參考下2019-10-10
SQL Server 完整備份遇到的一個(gè)不常見(jiàn)的錯(cuò)誤及解決方法
這篇文章給大家介紹了SQL Server 完整備份遇到的一個(gè)不常見(jiàn)的錯(cuò)誤及解決方法，非常不錯(cuò)，具有一定的參考借鑒價(jià)值，需要的朋友參考下吧2019-05-05
MySQL中建表與常見(jiàn)的類型設(shè)計(jì)陷阱詳解
這篇文章詳細(xì)講解了MySQL的建表語(yǔ)句、以及表結(jié)構(gòu)的設(shè)計(jì)規(guī)范和陷阱，并對(duì)網(wǎng)絡(luò)上常見(jiàn)的資料給出的設(shè)計(jì)方案。文中的示例代碼講解詳細(xì)，感興趣的小伙伴可以了解一下2022-11-11