MyBatis ‘#’ 和 ‘$’ 详解

MyBatis 是一个开源的持久层框架，用于简化数据库操作，它提供了多种方式来执行 SQL 查询，支持动态 SQL、映射器接口和注解等特性。在 MyBatis 中，# 和 $ 符号在 SQL 查询中有不同的作用和用法。

# 和 $ 的区别

  1. # 符号

    • 作用：# 符号表示预编译处理（PreparedStatement），会将参数按照 JDBC 类型安全地进行替换，即使用占位符 ? 来表示参数值。

    • 安全性：使用 # 可以防止 SQL 注入攻击，因为参数值会被自动转义，使得输入的参数无法改变 SQL 的语义。

    • 适用情况：推荐用于传递参数值，如 WHERE 子句、INSERT 或 UPDATE 的列值等。

    • 示例：

      1
      SELECT * FROM users WHERE id = #{userId}

      这里 #{userId} 将会被替换为安全的预编译参数。

  2. $ 符号

    • 作用：$ 符号直接将参数值拼接进 SQL 语句中，可以理解为字符串替换，不会进行预编译处理。

    • 灵活性：由于直接替换参数值，可以用于动态拼接 SQL 语句或者表名、列名的场景。

    • 注意事项：使用 $ 符号可能会导致 SQL 注入风险，特别是当用户输入直接拼接到 SQL 中时，需要谨慎处理。

    • 示例：

      1
      SELECT * FROM ${tableName} WHERE id = ${userId}

      这里 ${tableName} 和 ${userId} 将直接替换为实际的表名和用户 ID 值。

选择合适的符号

  • 安全性考虑：如果参数值来自用户输入或者不可信的来源，推荐使用 # 符号，以防止 SQL 注入攻击。

  • 性能考虑：$ 符号通常比 # 符号略快，因为不需要额外的预编译步骤，但在大多数情况下，这个差异可以忽略不计。

  • 动态 SQL：如果需要动态拼接 SQL 语句或者表名、列名，必须使用 $ 符号，因为这些部分不支持预编译。

最佳实践

  • 使用 # 符号：大多数情况下推荐使用 # 符号来传递参数值，以提高安全性和可维护性。

  • 使用 $ 符号：仅在需要动态拼接 SQL 语句或者表名、列名时使用 $ 符号，同时要注意安全风险。

总结

# 和 $ 符号在 MyBatis 中有不同的作用和用法，理解它们的区别并根据具体场景选择合适的符号可以帮助有效地使用 MyBatis 进行数据库操作，并提升应用程序的安全性和性能。