浅谈mybatis中的#和$的区别

在MyBatis中，`#`和`$`是用来动态构造SQL语句的占位符，它们的区别主要在于SQL预编译和防止SQL注入的能力。理解这两种符号的用法对于编写安全、高效的MyBatis映射文件至关重要。 1. `#`占位符： - `#`将传入的数据视为字符串，它会将其包裹在双引号内。例如，`order by #user_id#`，如果传入的值是`111`，那么最终生成的SQL将是`order by "111"`。如果传入的是`id`，则生成`order by "id"`。 - MyBatis使用`#`的方式会进行预编译处理，它会被转化为`?`，然后在执行SQL时安全地设置参数值，这样可以有效地防止SQL注入攻击。 - 预编译的SQL语句（又称参数化查询）在数据库中被预先解析，多次执行时只需要替换参数值，提高了效率。 - 因此，推荐在大多数情况下使用`#`，特别是当传入的值来自于用户输入或者其他不可信来源时。 2. `$`占位符： - `$`将传入的数据直接拼接进SQL字符串中，不做任何处理。如`order by $user_id$`，如果传入的值是`111`，则SQL变为`order by user_id`；如果是`id`，则为`order by id`。 - 这种方式不会进行预编译，直接在SQL语句中插入原始字符串，因此存在SQL注入的风险。 - `$`一般用于插入已知且不会改变的数据库对象，如表名、列名等，或者在某些特殊场景下，如动态构建复杂的SQL语句，需要保留字符串原本的格式时。 3. 安全性与性能： - `#`方式由于进行了预编译，所以可以防止SQL注入，更安全。 - `$`方式则不能防止SQL注入，因此在处理用户输入时应谨慎使用，或者在使用前确保数据已进行充分的验证和清理。 - 在性能上，`#`方式的预编译语句通常比`$`方式更快，尤其是在大量重复执行相同模板的SQL时。 4. 使用建议： - 优先考虑使用`#`，除非你明确知道传入的值是数据库对象名称，或者需要保持字符串原样不变。 - 如果必须使用`$`，一定要确保输入数据的合法性，并做好相应的安全防护措施，避免SQL注入。 总结来说，MyBatis中的`#`和`$`在处理动态SQL时提供了不同的策略。`#`注重安全性，通过预编译防止SQL注入，而`$`则更灵活，但安全性较低。在实际开发中，应当根据需求选择合适的占位符，以平衡安全性和性能。