zoukankan      html  css  js  c++  java
  • mybatis中#{}和${}的区别

    动态sql是mybatis的主要特性之一,我们的惯用做法是将mapper中收集来的参数传递到xml中,组装成动态的sql语句

    去执行,mybatis支持两种参数替换的语法:${}和#{},下面简单介绍下两者的区别

    1、在解析时:

      ${}是一个简单的String替换

      #{}会解析为一个prepared statement,对的,学习过原生jdbc的同学一定再熟悉不过这个叫法了:预处理语句

    也就是类似select * from user where name = ?;  预处理的好处?写过视图的应该知道,视图就好比一条预处理的sql

    执行的时候效率当然更高一些

    2、防sql注入

      ${}既然是String原原本本的替换,那么如果我找漏洞,可否将传入的值后面加一个类似于可执行的sql语句?

    比如传入id值,我可以这样传入:"id=1;delete from user",最后拼接起来的语句变为

    "select * from user where id=1;delete from user"

    user表被删了,当然这是个简单的例子,仅仅用来说明问题

      #{}则不会出现这样的问题

    因此在传入的值中包含表名的时候,必须使用#{},其实在项目中${}早已被丢弃、、、

  • 相关阅读:
    npm显示已安装的包
    webpack安装以及一些配置
    Chrome扩展之css used 获取网页样式
    搜索引擎高级用法
    C 语言-HelloWorld
    首先不谈C语言,我们先来谈谈编程工具
    HTTP content-type
    HTTP 响应头消息
    HTTP状态码
    HTTP请求方法
  • 原文地址:https://www.cnblogs.com/yb38156/p/9446296.html
Copyright © 2011-2022 走看看