实例讲解mybatis中${}与#{}的区别

秒速五厘米 2022-12-21 06:07 171阅读 0赞

mybatis的面试或者实际中，我们经常会遇到这个问题，下面我们先来总结一下他们之间大致的区别，最后通过实例演示一下。

$\{\}：这个其实就是简单的替换，有些傻瓜式，比如name="zhangsan",sql: select \* from users where name=$\{name\}，最后的语句就是：

select * from users where name = zhangsan

乍一看，没毛病啊，但是执行的时候，会报一个错误：

> org.springframework.jdbc.BadSqlGrammarException:   
> \#\#\# Error querying database.  Cause: java.sql.SQLSyntaxErrorException: Unknown column 'zhangsan' in 'where clause'  
> \#\#\# The error may exist in file \[D:\\eclipse\\workspaces\\demo\\target\\classes\\mapper\\UserMapper.xml\]  
> \#\#\# The error may involve defaultParameterMap  
> \#\#\# The error occurred while setting parameters  
> \#\#\# SQL: select \* from xx\_user where name = zhangsan  
> \#\#\# Cause: java.sql.SQLSyntaxErrorException: Unknown column 'zhangsan' in 'where clause'

其实，正常的语句应该是：

select * from users where name = 'zhangsan'

但是这种傻瓜式并不是一点好处也没有，后面会讲到它的特殊之处。默认，$\{\}替换的时候，它的变量名是value，所以在接口声明的时候，如果是一个参数，默认指定为value，比如findById(Integer value)，或者findByName(String value)就可以了，最后在sql中，我们需要根据参数数据类型，如果是字符串类型，需要在sql中加上单引号('')如下所示：

select * from users where name = '${value}'

如果是非字符串类型，比如整形，长整形，双精度类型，那么几乎就是和\#\{\}用法没有区别了，这里假定我们的id字段是整形：

select * from users where id = ${value}

默认情况下参数名为value：

接口声明：User findByDefault(String value);

xml配置如下：

<select id="findByDefault" resultType="com.xxx.demo.domain.User">
        select * from xx_user where name = '${value}'
    </select>

值得一提的是，$\{\}这种替换因为默认参数名是value，如果我们不小心指定了别的，比如name,age,email等等，也不是不可以，如果我们在接口声明的地方不作说明，那么就会报错：

>    There is no getter for property named 'name' in 'class java.lang.String'

解决这个问题，其实很简单，有两种办法：

**一种是通过注解给参数设置@Param("name"),@Param("age"),@Param("email")就行了。**

1、保证sql正确被替换，字符串类型，需要加上单引号：select \* from xx\_user where name = '$\{name\}'

2、接口方法使用@Param("name")注解参数：User findByName(@Param("name")String name);

**还有一种办法，就是把参数封装成一个key-value的键值对，即map，这样，参数相当于有了名字，最后替换的时候，就不会出错了。**

1、同样要确保sql中参数如果是字符串，需要单引号：select \* from xx\_user where name = '$\{name\}'

2、参数没有名字，就给他封装为map。需要修改service方法和dao方法声明：

UserMapper.java

User findByName(Map<String,Object> params);

UserService.java

public User findByName(String name){
        Map<String,Object> params = new HashMap<>();
        params.put("name", name);
        return userMapper.findByName(params);
    }

前面提到$\{\}替换非常傻瓜，但是这种傻瓜式却有很好的一个场景，比如我们的表名、或者是排序字段也是动态指定的呢，这种场景就非常适合这种傻瓜式的替换了。

比如：table\_name = 'users' , order\_column = "name" ,sql: select \* from $\{table\_name\} order by $\{order\_column\}，最后执行的sql会如下：

select * from users order by name

这里，因为table\_name,order\_column属性都是字符串类型，如果使用\#\{\}，那么在执行参数替换之后，执行的sql如下：

select * from 'users' order by 'name'

\#\{\}：mybatis推荐用法，它是占位符替换，开始，会将\#\{\}参数替换为"?"，之后，会根据对应的类型做参数替换，字符串类型，会自动加上单引号('')。前面说了如果表名或者排序字段是动态的，也需要做替换，这时候，使用\#\{\}，反而就会出现问题，因为表名和字段是字符串类型，替换之后，会默认加上单引号，这个场景适合$\{\}。

至于有的说$\{\}可能会导致sql注入的风险，使用\#\{\}能够避免，个人理解sql注入在实际中并不是很常见，当我们的程序对参数检测做的足够严格，其实就很好规避这类问题，只能说有可能会导致，并不是说使用$\{\}就一定会导致sql注入。