MyBatis中${} 和 #{} 有什么区别？

妖狐艹你老母 2024-04-07 15:42 88阅读 0赞

$\{\} 和 \#\{\} 都是 MyBatis 中用来替换参数的，它们都可以将用户传递过来的参数，替换到 MyBatis 最终生成的 SQL 中，但它们区别却是很大的，接下来我们一起来看。

1.功能不同

$\{\} 是将参数直接替换到 SQL 中，比如以下代码：

![9b59850a93fd4eb08c1df0b641b36bb6.png][]  
最终生成的执行 SQL 如下：

![5224c1bee05d4556973b555f522c49df.png][]  
从上图可以看出，之前的参数 $\{id\} 被直接替换成具体的参数值 1 了。 而 \#\{\} 则是使用占位符的方式，用预处理的方式来执行业务，我们将上面的案例改造为 \#\{\} 的形式，实现代码如下：

![8117f33d8b9d4ab4a61be660d9282755.png][]  
最终生成的 SQL 如下：

![6e39a73a21f84dbb9a9dfeab749ad273.png][]

$\{\} 的问题

当参数为数值类型时（在不考虑安全问题的前提下），$\{\} 和 \#\{\} 的执行效果都是一样的，然而当参数的类型为字符时，再使用 $\{\} 就有问题了，如下代码所示：

![73fef915683a4aa8a32e743a7bb6b0cf.png][]  
以上程序执行时，生成的 SQL 语句如下：

![1213351fdb6b41a18ce3f6710f7275fc.png][]  
这样就会导致程序报错，因为传递的参数是字符类型的，而在 SQL 的语法中，如果是字符类型需要给值添加单引号，否则就会报错，而 $\{\} 是直接替换，不会自动添加单引号，所以执行就报错了。 而使用 \#\{\} 采用的是占位符预执行的，所以不存在任何问题，它的实现代码如下：

![31b491eeb9d24395884224f861f14825.png][]  
以上程序最终生成的执行 SQL 如下：

![bd729752a5a64f4fa7e348a8b63fd861.png][]

2.使用场景不同

虽然使用 \#\{\} 的方式可以处理任意类型的参数，然而当传递的参数是一个 SQL 命令或 SQL 关键字时 \#\{\} 就会出问题了。比如，当我们要根据价格从高到低（倒序）、或从低到高（正序）查询时，如下图所示：

![69ae137770bf4b0cb027b7edeb15fc53.png][]  
此时我们要传递的排序的关键字，desc 倒序（价格从高到低）或者是 asc 正序（价格从低到高），此时我们使用 $\{\} 的实现代码瑞安：

![9c7b6d44237e469cbf47e527ddac67d1.png][]  
以上代码生成的执行 SQL 和运行结果如下：

![a04b8c376d84473fb1ae0916b99b7d10.png][]  
但是，如果将代码中的 $\{\} 改为 \#\{\}，那么程序执行就会报错，\#\{\} 的实现代码如下：

![b7badf6a5b3a4eaca7f05a38b068f6fd.png][]  
以上代码生成的执行 SQL 和运行结果如下：

![7e19dac52d7c4483b799e5b424cf9984.png][]  
从上述的执行结果我们可以看出：当传递的是普通参数时，需要使用 \#\{\} 的方式，而当传递的是 SQL 命令或 SQL 关键字时，需要使用 $\{\} 来对 SQL 中的参数进行直接替换并执行。

3.安全性不同

$\{\} 和 \#\{\} 最主要的区别体现在安全方面，当使用 $\{\} 会出现安全问题，也就是 SQL 注入的问题，而使用 \#\{\} 因为是预处理的，所以不会存在安全问题，我们通过下面的登录功能来观察一下二者的区别。

3.1 使用 $\{\} 实现用户登录

UserMapper.xml 中的实现代码如下：

![ee4d60465c1c44ce8430323707ce46f2.png][]  
单元测试代码如下：

![cf152dc228df444ebbd4d06dfd1e5801.png][]  
以上代码生成的执行 SQL 和运行结果如下：

![fbd71fbe2c864a3da766a54f4f78e7dd.png][]  
从结果可以看出，当我们传入了正确的用户名和密码时，能成功的查询到数据。但是，在我们使用 $\{\} 时，当我们在不知道正确密码的情况下，使用 SQL 注入语句也能用户的私人信息，SQL 注入的实现代码如下：

![d305be09f7f046ebbbf8122dc07483ef.png][]  
以上代码生成的执行 SQL 和运行结果如下：

![edbb79eb1ff34cca8806e18d477999de.png][]  
从上述结果可以看出，当使用 $\{\} 时，在不知道正确密码的情况下也能得到用户的私人数据，这就像一个小偷在没有你们家钥匙的情况下，也能轻松的打开你们家大门一样，这是何其恐怖的事情。那使用 \#\{\} 有没有安全问题呢？接下来我们来测试一下。

3.2 使用 \#\{\} 实现用户登录

首先将 UserMapper.xml 中的代码改成以下内容：

![1067f38ca16147958d48b0e16664b2f0.png][]  
接着我们使用上面的 SQL 注入来测试登录功能：

![821acd85b7ca433a825b1884892a91d7.png][]  
最终生成的 SQL 和执行结果如下：

![6149159c624a47c4af6f75b9b0bd1e32.png][]  
从上述代码可以看出，使用 SQL 注入是无法攻破 \#\{\} 的“大门”的，所以可以放心使用。

总结

$\{\} 和 \#\{\} 都是 MyBatis 中用来替换参数的，它们二者的区别主要体现在：1、功能不同：$\{\} 是直接替换，而 \#\{\} 是预处理；2、使用场景不同：普通参数使用 \#\{\}，如果传递的是 SQL 命令或 SQL 关键字，需要使用 $\{\}，但在使用前一定要做好安全验证；3、安全性不同：使用 $\{\} 存在安全问题，而 \#\{\} 则不存在安全问题。

[9b59850a93fd4eb08c1df0b641b36bb6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/3aa150ef4f2244efbe2573b4b621db1b.png
[5224c1bee05d4556973b555f522c49df.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/ef7d49c368944baeb513e7d898ac3a7b.png
[8117f33d8b9d4ab4a61be660d9282755.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/82e50c70e814424ca427ae34a0c159f9.png
[6e39a73a21f84dbb9a9dfeab749ad273.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/cc18fe5e55c84658851ce0628c0d85b2.png
[73fef915683a4aa8a32e743a7bb6b0cf.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/1b4f4797624b4b6f9093674afeba5ed2.png
[1213351fdb6b41a18ce3f6710f7275fc.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/dddabc00b932429c9d7c753bb48f5599.png
[31b491eeb9d24395884224f861f14825.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/4d2915fd4a3340828fd0525a3dc904c7.png
[bd729752a5a64f4fa7e348a8b63fd861.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/48446ce4042042fb8fab8f6e87b33d04.png
[69ae137770bf4b0cb027b7edeb15fc53.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/db36df635f774387aabe5c9a003785b7.png
[9c7b6d44237e469cbf47e527ddac67d1.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/17243de7d1f242dfacc48e7bd52a6508.png
[a04b8c376d84473fb1ae0916b99b7d10.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/6523899ca7c941df9db4a334d9b666f9.png
[b7badf6a5b3a4eaca7f05a38b068f6fd.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/515bad7f22fd497cb024b861a3155494.png
[7e19dac52d7c4483b799e5b424cf9984.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/fa9d2dde50df4f3e8a4cf11cabb302b1.png
[ee4d60465c1c44ce8430323707ce46f2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/6dff922e3a2040b2857ac307f6b659b2.png
[cf152dc228df444ebbd4d06dfd1e5801.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/07f95ef510e8442e89816e128406e0b8.png
[fbd71fbe2c864a3da766a54f4f78e7dd.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/e12adbd3bcf9453c851538b17332a254.png
[d305be09f7f046ebbbf8122dc07483ef.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/9cbe394e1ffc42e6bd731a3696de0111.png
[edbb79eb1ff34cca8806e18d477999de.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/c703db59f3c54816851278ea94b49d26.png
[1067f38ca16147958d48b0e16664b2f0.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/74355dfb2ff841afb5ee3869aaeff5fe.png
[821acd85b7ca433a825b1884892a91d7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/fc892b4ec84c433f83e94df94314723c.png
[6149159c624a47c4af6f75b9b0bd1e32.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/6738dfed4f9a497e8abb597f1aa8a685.png