mybatis 中 #{} 和 ${} 的区别及应用场景

川长思鸟来 2022-05-17 06:05 282阅读 0赞

#### 一、\#\{\} 和 $\{\} 详解 ####

动态 sql 是 mybatis 的主要特性之一，在 mapper 中定义的参数传到 xml 中之后，在查询之前 mybatis 会对其进行动态解析。mybatis 为我们提供了两种支持动态 sql 的语法：\#\{\} 以及 $\{\} 。

*  \#\{\} ： 根据参数的类型进行处理，比如传入String类型，则会为参数加上双引号。\#\{\} 传参在进行SQL预编译时，会把参数部分用一个占位符 ? 代替，这样可以防止 SQL注入。
 *  $\{\} ： 将参数取出不做任何处理，直接放入语句中，就是简单的字符串替换，并且该参数会参加SQL的预编译，需要手动过滤参数防止 SQL注入。
 *  因此 mybatis 中优先使用 \#\{\}；当需要动态传入 表名或列名时，再考虑使用 $\{\} 。
 *  其中 $\{\} 比较特殊， 他的应用场景是 需要动态传入 表名或列名时使用。下面举例

#### 二、应用场景 ####

1.  看下面的SQL语句， 功能是查出年龄使用 IN 运算符，姓名采用模糊查询的一些男生，按照出生时间降序排列。但是下面这代码是达不到需求的，读者可以自己先找找问题。

<select id="getList" resultType="com.ccyang.UserDao">
            select 
                u.user_id, u.user_name, u.user_type, u.age, u.sex, u.birthday
            from
                user u
            <where>
                u.user_age in <foreach collection="ages" item="item" index="index" open="(" separator="," close=")">#{item}</foreach>
                and u.sex == "男"
                <if test="u.user_name != null and u.user_name != ''"> AND u.user_name like CONCAT(CONCAT('%', #{userName}), '%')</if>   
                <if test="order_by!= null and order_by != ''">  order by #{order_by} DESC</if>  
            </where>    
        </select>

上面这段代码可以查出数据，但是根据业务来看是有问题的，他不能进行排序，因为 \#\{birthday\} 解析出来后是一个 带着双引号的字符串，mysql找不到这样的列名，因此不能进行排序。  
2. 正确的写法应该是使用 $\{order\_by\}，这样解析后就是一个列名，然后才能对数据进行排序，已达到业务需求。

<select id="getList" resultType="com.ccyang.UserDao">
            select 
                u.user_id, u.user_name, u.user_type, u.age, u.sex, u.birthday
            from
                user u
            <where>
                u.user_age in <foreach collection="ages" item="item" index="index" open="(" separator="," close=")">#{item}</foreach>
                and u.sex == "男"
                <if test="u.user_name != null and u.user_name != ''"> AND u.user_name like CONCAT(CONCAT('%', #{userName}), '%')</if>   
                <if test="order_by!= null and order_by != ''">  order by ${order_by} DESC</if> 
            </where>    
        </select>

使用 $\{\} 动态传入表名或列名就可以达到需求，但是要小心SQL注入问题。