MyBatis 中 #{}与${}的区别

MyBatis 中 #{}与${}的区别

在MyBatis的映射配置文件中，动态传递参数的方式有两种

• 占位符:#{}
• 拼接符:${}

区别

• （1）

  • {}为参数占位符？，即sql预编译

  • ${}为字符串替换，即sql拼接

• （2）

  • #{}：动态解析 -> 预编译 -> 执行
  • ${}：动态解析 -> 编译 -> 执行

• （3）

  • #{} 的变量替换是在DBMS 中
  • ${} 的变量替换是在 DBMS 外

• （4）

  • 变量替换后，#{} 对应的变量自动加上单引号 ''
  • 变量替换后，${} 对应的变量不会加上单引号 ''

• （5）

  • #{} 能防止sql 注入
  • ${} 不能防止sql 注入

3.#{} 和 ${} 的大括号中的值

• （1）单个参数的情形

  • {}：无MyBatis 默认值，可任意，且与参数名无关

  • ${}:
    • 使用 MyBatis 默认值 value，即 ${value}
    • 使用自定义参数名，前提：在映射器接口方法的参数(形参)前加注解@Param("")
• （2）多个参数的情形

  • {}与${}相同：

    • 使用MyBatis 默认值 arg0、arg1、arg2 … 或 param1、param2、param3 …
    • 使用自定义参数名，前提：在映射器接口方法的参数(形参)前加注解@Param("")

#{} 和 ${} 在使用中的技巧和建议

（1）不论是单个参数，还是多个参数，一律都建议使用注解@Param("")

（2）能用 #{} 的地方就用 #{}，不用或少用 ${}

（3）表名作参数时，必须用 ${}。如：select * from ${tableName}

（4）order by 时，必须用 ${}。如：select * from t_user order by ${columnName}

（5）使用 ${} 时，要注意何时加或不加单引号，即 ${} 和 '${}'