mybatis中#{}和${}的区别详解

下面是针对“Mybatis中#{}和${}的区别详解”的完整攻略：

1. #{}和${}的基本概念

在Mybatis中，#{}和${}都是参数占位符，用于将数据传递到SQL语句中。在执行SQL语句时，#{}会将传入的数据以预编译的形式进行处理，而${}则会将传入的数据直接拼接到SQL语句中。

2. #{}和${}的主要区别

2.1. SQL注入问题

在使用${}时，如果不对传入的数据进行处理，就有可能造成SQL注入的问题。比如，如果有一个查询用户信息的SQL语句：

SELECT * FROM user WHERE name = '${userName}';

那么当传入的${userName}为“' OR '1'='1”时，SQL语句会变成：

SELECT * FROM user WHERE name = '' OR '1'='1';

这时就会查询到所有用户信息，造成安全问题。而在使用#{}时，传入的数据会进行预编译处理，自动为字符串添加转义字符或将其他类型数据转换为字符串类型，从而避免了SQL注入的问题。

2.2. 数据类型转换问题

当使用#{}时，Mybatis会自动为传入的参数进行类型转换，比如将String类型转换为varchar类型。而在使用${}时，传入的参数会直接拼接到SQL语句中，需要手动进行类型转换，否则会出现类型不匹配的问题。

3. 示例说明

• 示例1

有一个查询用户信息的SQL语句：

SELECT * FROM user WHERE id = #{userId} AND level > #{level};

对应的Mapper接口为：

public interface UserMapper {
    User getUser(@Param("userId") Long userId, @Pram("level") Integer level);
}

这里使用#{}来传递参数。在执行SQL语句时，Mybatis会自动为传入的参数添加转义字符，避免SQL注入的问题，同时也会自动进行类型转换，方便进行数据操作。

• 示例2

有一个查询用户信息的SQL语句：

SELECT * FROM user WHERE name = '${userName}' AND age = ${age};

对应的Mapper接口为：

public interface UserMapper {
    User getUser(@Param("userName") String userName, @Pram("age") Integer age);
}

这里使用${}来传递参数。在执行SQL语句时，需要手动进行类型转换，否则会出现类型不匹配的问题，同时也需要对传入的参数进行处理，避免SQL注入的问题。

结语

以上就是Mybatis中#{}和${}的区别详解。在实际使用过程中，建议优先选择#{}，避免造成安全问题和类型不匹配的问题。