MyBatis中$与#的区别解析
一、介绍
#（井号）：MyBatis使用#{}作为参数占位符时，会创建预处理语句（Prepared Statement），并将参数值作为预处理语句的参数绑定到SQL语句中。
使用#可以防止SQL注入攻击，因为MyBatis会自动对参数值进行转义处理。
#{}内部可以是参数的名称或者参数的索引位置（例如#{param1}或者#{1}）。
SELECT * FROM users WHERE username = #{username}$（美元符号）：MyBatis使用${}作为参数占位符时，不会创建预处理语句。而是直接将参数值拼接到SQL语句中。
使用$不会对参数值进行转义，因此容易受到SQL注入攻击，除非参数值是可信的或者已经进行了适当的处理。
${}内部通常是参数的名称。
SELECT * FROM ${tableName} WHERE id = #{id}$和#的主要区别：
a、安全性：#提供预处理语句的参数绑定，更安全，可以有效防止SQL注入；$直接将参数值拼接到SQL语句中，存在SQL注入的风险。
b、性能：#通常性能更好，因为预处理语句可以重复使用，而$每次都会生成新的SQL语句。
c、使用场景：#适用于大多数情况，特别是当参数是用户输入时；$适用于需要动态指定表名或列名的情况，因为这些部分不能作为预处理语句的参数。
因此，除非有特殊需求，通常推荐使用#来提高SQL语句的安全性和性能。
二、sql注入风险实例
1、存在 SQL 注入风险的情况（使用 $）：
// Mapper 接口
public interface UserMapper {
User selectUserByUsername(String username);
}
// XML 映射文件（存在注入风险）
<select id="selectUserByUsername" resultType="User">
SELECT * FROM users WHERE username = '${username}'
</select>攻击示例：当输入的 username 为 ' OR '1'='1 时，最终生成的 SQL 语句如下：
SELECT * FROM users WHERE username = '' OR '1'='1'
这个 SQL 语句会让所有用户记录都被返回。
2、安全处理方式（使用#）
// Mapper 接口
public interface UserMapper {
User selectUserByUsername(String username);
}
// XML 映射文件（安全）
<select id="selectUserByUsername" resultType="User">
SELECT * FROM users WHERE username = #{username}
</select>3、预编译过程
编译后的 SQL：SELECT * FROM users WHERE username = ?
实际执行时：如果输入的 username 是 ' OR '1'='1，JDBC 会对其进行转义，转义后的值为 \' OR \'1\'=\'1。
最终效果：查询会去匹配一个名为 ' OR '1'='1 的用户，显然这样的用户是不存在的，注入攻击也就失败了。
到此这篇关于mybaits中$与#的区别解析的文章就介绍到这了,更多相关mybaits $与#区别内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家！
相关文章
这篇文章主要给大家介绍了关于Spring MVC学习教程之视图解析的相关资料，文中通过示例代码介绍的非常详细，对大家学习或使用spring mvc具有一定的参考学习价值，需要的朋友们下面来一起看看吧2018-11-11
这篇文章主要介绍了Java中的动态和静态编译实例详解的相关资料,需要的朋友可以参考下2017-04-04
这篇文章主要介绍了Java必学基础TreeSet集合，TreeSet集合实现了SortedSet接口, 可以对集合中元素进行自然排序, 要求集合中的元素必须是可比较的。下文详细介绍需要的朋友可以参考一下2022-04-04
Spring Boot 项目集成 Redisson 实现延迟队列的详细过程
本文介绍延迟队列在订单超时等场景的应用及四种技术方案对比,推荐Redisson延迟队列,提供项目结构与测试源码,对Spring Boot Redisson延迟队列相关知识感兴趣的朋友一起看看吧2025-06-06
这篇文章主要介绍了模仿Spring手写一个简易的IOC，帮助大家更好的理解和学习spring框架，感兴趣的朋友可以了解下2020-11-11
RedisTemplate是Spring Data Redis提供的一个用于操作Redis的模板类,本文主要介绍了java实现RedisTemplate操作哈希数据,具有一定的参考价值,感兴趣的可以了解一下2024-09-09
IntelliJ Plugin 开发之添加第三方jar的示例代码
这篇文章主要介绍了IntelliJ Plugin 开发之添加第三方jar的示例代码，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧2020-09-09
Java使用modbus-master-tcp实现modbus tcp通讯
这篇文章主要为大家详细介绍了另外一种Java语言的modbux tcp通讯方案,那就是modbus-master-tcp,文中的示例代码讲解详细,需要的可以了解下2023-12-12
Java关于BeabUtils.copyproperties的用法
这篇文章主要介绍了Java关于BeabUtils.copyproperties的用法,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教2024-08-08
这篇文章主要介绍了解决json字符串序列化后的顺序问题，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧2021-03-03
最新评论