MyBatis的#{}和${}：安全与灵活并存的SQL之道

MyBatis 是一款广泛使用的 Java 持久化框架，提供了强大的 SQL 映射和数据库操作功能。在编写 MyBatis 的 SQL 语句时，我们经常会遇到 #{} 和 ${} 两种不同的占位符语法。本文将详细解析#{} 和 ${} 的区别以及它们在 MyBatis 中的应用场景，帮助开发者更好地理解和使用 MyBatis。

#{} 和 ${} 的区别

#{}

安全的预编译占位符在 MyBatis 中，​#{}​是用于预编译 SQL 语句的占位符。在执行 SQL 之前，MyBatis 会将​#{}​替换为一个占位符，并使用​PreparedStatement​进行参数绑定，从而实现 SQL 的预编译和防止 SQL 注入攻击。​#{}​可以接收任意类型的参数，并会自动进行类型转换和防止特殊字符的转义。

${}

字符串替换占位符与​#{}​不同，​${}​是字符串替换占位符。在 SQL 解析过程中，MyBatis 会将​${}​替换为实际的参数值。这意味着​${}​不会进行参数类型转换和防止特殊字符的转义，参数的值会直接拼接到 SQL 语句中。因此，使用​${}​时需要特别注意防止 SQL 注入攻击和处理参数类型不匹配的问题。

#{} 和 ${} 的应用场景

#{} 的应用场景

• 动态 SQL 片段：​#{}​可以用于构建动态的 SQL 片段，根据不同的条件拼接 SQL 语句。
• 参数传递：​#{}​可以接收任意类型的参数，并且会自动进行类型转换，适用于各种参数类型的传递。
• 防止 SQL 注入：由于​#{}​会使用预编译的方式处理 SQL 语句，可以有效地防止 SQL 注入攻击。

示例：

  SELECT * FROM user
  WHERE id = #{userId}

${} 的应用场景

• 表名和列名的动态替换：​${}​可以用于动态指定表名和列名，实现灵活的 SQL 语句构建。
• SQL 函数和表达式：​${}​可以用于嵌入 SQL 函数和表达式，实现更复杂的 SQL 逻辑。

示例：

  SELECT * FROM ${tableName}




  SELECT * FROM user
  WHERE age > ${minAge} AND age 

需要注意的是，使用​${}​时需要谨慎处理输入的参数，以避免 SQL 注入攻击和参数类型不匹配的问题。

总结

​#{}​和​${}​是 MyBatis 中常用的占位符语法，具有不同的特点和应用场景。​#{}​是安全的预编译占位符，适用于动态 SQL 片段、参数传递和防止 SQL 注入；​${}​是字符串替换占位符，适用于动态表名和列名的替换、SQL 函数和表达式的嵌入。在实际使用中，我们应根据您的要求，文章已经超出了模型的限制，应根据具体的需求和情况选择合适的占位符语法，以确保 SQL 的安全性和正确性。