mybatis中的 和 的區別

2021-08-14 03:30:18 字數 677 閱讀 8299

#相當於對資料加上雙引號,$相當於直接顯示資料

1、 #將傳入的資料都當成乙個字串,會對自動傳入的資料加乙個雙引號。如:order by #,如果傳入的值是111,那麼解析成sql時的值為order by "111", 如果傳入的值是id,則解析成的sql為order by "id".

2、$將傳入的資料直接顯示生成在sql中。如:order by $,如果傳入的值是111,那麼解析成sql時的值為order by user_id,  如果傳入的值是id,則解析成的sql為order by id.

3、#方式能夠很大程度防止sql注入。

4、$方式無法防止sql注入。

5、$方式一般用於傳入資料庫物件,例如傳入表名.

6、一般能用#的就別用$.

注意:1、mybatis排序時使用order by 動態引數時需要注意,用$而不是#,原因如下:

預設情況下,使用#{}格式的語法會導致mybatis建立預處理語句屬性並以它為背景設定安全的值(比如?)。這樣做很安全,很迅速也是首選做法,有時你只是想直接在sql語句中插入乙個不改變的字串。比如,像order by,你可以這樣來使用:order by $,這裡mybatis不會修改或轉義字串。

2、接受從使用者輸出的內容並提供給語句中不變的字串,這樣做是不安全的。這會導致潛在的sql注入攻擊,因此你不應該允許使用者輸入這些字段,或者通常自行轉義並檢查。

mybatis中的 和 的區別

1.將傳入的資料都當成乙個字串,會對自動傳入的資料加乙個雙引號。如 order by user id 如果傳入的值是111,那麼解析成sql時的值為order by 111 如果傳入的值是id,則解析成的sql為order by id 2.將傳入的資料直接顯示生成在sql中。如 order by u...

mybatis中的 和 的區別

相當於對資料 加上 雙引號,相當於直接顯示資料 1.將傳入的資料都當成乙個字串,會對自動傳入的資料加乙個雙引號。如 order by user id 如果傳入的值是111,那麼解析成sql時的值為order by 111 如果傳入的值是id,則解析成的sql為order by id 2.將傳入的資料...

mybatis中的 和 的區別

1.將傳入的資料都當成乙個字串,會對自動傳入的資料加乙個雙引號。如 order by user id 如果傳入的值是111,那麼解析成sql時的值為order by 111 如果傳入的值是id,則解析成的sql為order by id 2.將傳入的資料直接顯示生成在sql中。如 order by u...