MyBatis中的#{}和${}的区别

在MyBatis框架中，我们在编写SQL语句时，经常会遇到参数绑定的问题。为此，MyBatis提供了两种参数占位符符号#{}和${}，来帮助我们方便地插入参数值。

1、#{}

#{}是预编译参数的占位符符号。当使用#{}作为占位符时，MyBatis会将参数值进行预编译，然后将占位符替换为实际的参数值。这种方式能够有效防止SQL注入攻击，保证数据库的安全性。

例如，我们有一个查询用户信息的SQL语句，需要根据用户名来查询：

SELECT * FROM user WHERE username = #{username};

在这个例子中，#{username}就是一个参数占位符。当我们在Java代码中使用Map或者注解的方式来传递参数时，MyBatis会将参数值替换到#{}的位置上。如果参数值为"admin"，那么最终执行的SQL语句就会变成：

SELECT * FROM user WHERE username = 'admin';

2、${}

是字符串替换的占位符符号。当使用是字符串替换的占位符符号。当使用${}作为占位符时，MyBatis会直接将占位符替换为字符串的值。它不会对参数值进行预编译，因此可能会存在SQL注入的风险。

例如，我们同样有一个查询用户信息的SQL语句，需要根据用户名来查询：

SELECT * FROM user WHERE username = '${username}';

在这个例子中，${username}是一个字符串替换的占位符。如果我们直接将一个字符串值传递给这个占位符，那么最终执行的SQL语句就会变成：

SELECT * FROM user WHERE username = 'admin'; -- admin是一个字符串值，可能存在SQL注入风险。

从上面的示例可以看出，当我们需要插入不可信的参数值时，使用${}可能会导致SQL注入的风险。因此，为了确保程序的安全性，推荐在MyBatis中使用#{}进行参数绑定和预编译。

总结一下：

• #{}是预编译参数的占位符符号，可以有效防止SQL注入攻击；
• ${}是字符串替换的占位符符号，可能会存在SQL注入的风险；
• 在实际开发中，应该尽量使用#{}来进行参数绑定和预编译。