zoukankan      html  css  js  c++  java
  • Mybatis中#和$的区别

    • mybatis中的#和$的区别:

      1、#将传入的数据都当成一个字符串,会对自动传入的数据加一个双引号。
      如:where username=#{username},如果传入的值是111,那么解析成sql时的值为where username="111", 如果传入的值是id,则解析成的sql为where username="id". 
      2、$将传入的数据直接显示生成在sql中。
      如:where username=${username},如果传入的值是111,那么解析成sql时的值为where username=111;
      如果传入的值是;drop table user;,则解析成的sql为:select id, username, password, role from user where username=;drop table user;
      3、#方式能够很大程度防止sql注入,$方式无法防止Sql注入。
      4、$方式一般用于传入数据库对象,例如传入表名.
      5、一般能用#的就别用$,若不得不使用“${xxx}”这样的参数,要手工地做好过滤工作,来防止sql注入攻击。
      6、在MyBatis中,“${xxx}”这样格式的参数会直接参与SQL编译,从而不能避免注入攻击。但涉及到动态表名和列名时,只能使用“${xxx}”这样的参数格式。所以,这样的参数需要我们在代码中手工进行处理来防止注入。
      【结论】在编写MyBatis的映射语句时,尽量采用“#{xxx}”这样的格式。若不得不使用“${xxx}”这样的参数,要手工地做好过滤工作,来防止SQL注入攻击。

    • 【 结论:】

      #{}:相当于JDBC中的PreparedStatement
      ${}:是输出变量的值

      简单说,

    • #{}是经过预编译的,是安全的;

    • ${}是未经过预编译的,仅仅是取变量的值,是非安全的,存在SQL注入。
      如果我们order by语句后用了${},那么不做任何处理的时候是存在SQL注入危险的。你说怎么防止,那我只能悲惨的告诉你,你得手动处理过滤一下输入的内容。如判断一下输入的参数的长度是否正常(注入语句一般很长),更精确的过滤则可以查询一下输入的参数是否在预期的参数集合中。

       

    1.分析:

    #{ }:解析为一个 JDBC 预编译语句(prepared statement)的参数标记符。

    例如,Mapper.xml中如下的 sql 语句:

    select * from user where name = #{name};

    动态解析为:

    select * from user where name = ?; 

    一个 #{ } 被解析为一个参数占位符 ? 。


    而${ } 仅仅为一个纯碎的 string 替换,在动态 SQL 解析阶段将会进行变量替换。

    例如,Mapper.xml中如下的 sql:

    select * from user where name = ${name};

    当我们传递的参数为 "Jack" 时,上述 sql 的解析为:

    select * from user where name = "Jack";

    预编译之前的 SQL 语句已经不包含变量了,完全已经是常量数据了。

    综上所得, ${ } 变量的替换阶段是在动态 SQL 解析阶段,而 #{ }变量的替换是在 DBMS 中。

    2.使用

    1、能使用 #{ } 的地方就用 #{ }

    • 首先这是为了性能考虑的,相同的预编译 sql 可以重复利用。
    • 其次,${ } 在预编译之前已经被变量替换了,这会存在 sql 注入问题。

    例如,如下的 sql:

    select * from ${tableName} where name = #{name}

    假如,我们的参数 tableName 为 user; delete user; --,那么 SQL 动态解析阶段之后,预编译之前的 sql 将变为:

    select * from user; delete user; -- where name = ?;

    -- 之后的语句将作为注释,不起作用,因此本来的一条查询语句偷偷的包含了一个删除表数据的 SQL。

    2. 表名作为变量时,必须使用 ${ }

    这是因为,表名是字符串,使用 sql 占位符替换字符串时会带上单引号 '',这会导致 sql 语法错误,例如:

    select * from #{tableName} where name = #{name};

    预编译之后的sql 变为:

    select * from ? where name = ?;

    假设我们传入的参数为 tableName = "user" , name = "Jack",那么在占位符进行变量替换后,sql 语句变为:

    select * from 'user' where name='Jack';

    上述 sql 语句是存在语法错误的,表名不能加单引号 ''(注意,反引号 ``是可以的)。

    3.预编译

    1. 定义:
      sql 预编译指的是数据库驱动在发送 sql 语句和参数给 DBMS 之前对 sql 语句进行编译,这样 DBMS 执行 sql 时,就不需要重新编译。

    2. 为什么需要预编译

      • JDBC 中使用对象 PreparedStatement 来抽象预编译语句,使用预编译。
      • 预编译阶段可以优化 sql 的执行。预编译之后的 sql 多数情况下可以直接执行,DBMS 不需要再次编译,越复杂的sql,编译的复杂度将越大,预编译阶段可以合并多次操作为一个操作。
      • 预编译语句对象可以重复利用。把一个 sql 预编译后产生的 PreparedStatement 对象缓存下来,下次对于同一个sql,可以直接使用这个缓存的 PreparedState 对象。
      • mybatis 默认情况下,将对所有的 sql 进行预编译。
  • 相关阅读:
    ping与telnet的区别
    TCP连接的建立与关闭
    网络的7层协议
    oracle数据库中,分天查询数目
    求某个字符在字符串中的第5个位置
    高精度乘
    高精度加法
    二叉排序树(建树,先序,中序,后序遍历)
    求哈夫曼树的带权路径长度和
    HDU_1237_简单计算器
  • 原文地址:https://www.cnblogs.com/linhongwenBlog/p/12879749.html
Copyright © 2011-2022 走看看