mybatis #{} 和 ${} 解读及场景 (全网最全易懂)

红太狼 2024-03-25 12:51 232阅读 0赞

**省流：****\#\{\}****会给取出的值加双引号**

### \#\{\} 和 $\{\} ###

#### 案例 ####

先看一个案例。入参如果是map，在mapper.xml文件里，如果字段名使用map的key，值使用map的value。一般用循环遍历，将所有key和value都取出来。

代码如下：

select * from USER_LOG
    <where>
        <foreach collection="maps" index="index" item="item">
            AND ${index}=#{item}
        </foreach>
    </where>

**注意：$\{index\}=\#\{item\}，取字段名需要用****$\{\}****。**

#### 原理 ####

取字段名之所以用$\{\}，因为\#\{\}会给取出的值加双引号。如果字段名用\#\{\}来取，就成了where "xxx"="yyy"，值与值比较，所以条件的值是false，而非是将某个值给字段。

$\{\}取出的值不会加双引号，拼接后就是 where xxx="yyy"，这就将值给字段了。

#### sql注入问题 ####

八股文中，通常说\#\{\}和$\{\}区别是：**\#\{\}可以防止sql注入**。

那为什么可以防止注入？这时候就可以装批了：因为预编译时，占位符的位置，入参都被加双引号处理做成了字符串格式。

例如：

String sql = "select * from acct where password =  "+pwd;

对其注入的话，即前端传参如下：

String pwd = " '1' or 1=1 ";

这时候拼接上去，整句话就成了：

String sql = "select * from acct where password =  '1' or 1=1 ";
    //由于条件是 or 1=1，所以不管密码对还是错，都可以查出所有数据

但如果是把整个入参作为字符串，即加引号，就是这样：

String sql = "select * from acct where password =  '\'1\' or 1=1' ";

即等号后面是一个**整体**的值，假如把这个值存入数据库的话，看到的就是这样 **'1' or 1=1**

一不小心把防注入的原理也讲完了，可以拿去吹牛批了

发表评论取消回复

表情：

评论列表（有 0 条评论，232人围观）

还没有评论，来说两句吧...

相关阅读

相关 mybatis #{} 和 ${} 解读及场景 (全网最全易懂)

省流：\\{\}会给取出的值加双引号 \\{\} 和 $\{\} 案例先看一个案例。入参如果是map，在mapper.xml文件里，如果字段名使用map的key

红太狼/ 2024年03月25日 12:51/ 0 赞/ 233 阅读

相关 redis 单元测试 junit+spring+jedis 【全网最全解读】

我们在公司里，接手了别人的项目，面对项目里用到redis的部分，很多时候，我们只是想测一下redis是否能连通，或者key是否有值。我们不想启动一堆东西。此文是使用jedi

浅浅的花香味﹌/ 2024年03月24日 21:23/ 0 赞/ 46 阅读

相关 MQTT解读【全网最易懂】

目录前言一、MQTT相比于TCP长连接的优势 1、协议更标准 2、MQTT协议制定好了很多利于物联网的功能 3、理解数据内容，用数据产生价值二、选择MQTT还

Bertha 。/ 2024年02月21日 08:39/ 0 赞/ 193 阅读

相关图解Kafka适用场景，全网最全！

点击下方“JavaEdge”，选择“设为星标” 第一时间关注技术干货！ > 免责声明~ > > 任何文章不要过度深思！ > > 万事万物都经不起审视，因为世上没有同样的

逃离我推掉我的手/ 2024年02月17日 10:03/ 0 赞/ 31 阅读

相关全网最全图解Kafka适用场景

消息系统消息系统被用于各种场景，如解耦数据生产者，缓存未处理的消息。Kafka 可作为传统的消息系统的替代者，与传统消息系统相比，kafka有更好的吞吐量、更好的可用性

ゞ浴缸里的玫瑰/ 2024年02月17日 09:50/ 0 赞/ 175 阅读

相关全网最全 | MySQL EXPLAIN 完全解读

原文链接：[https://mp.weixin.qq.com/s/dy6zLFpPrOCyp4yBcM2DZg][https_mp.weixin.qq.com_s_dy6zLF

亦凉/ 2023年02月27日 14:59/ 0 赞/ 114 阅读

相关全网最全程序员效率工具及小技巧

命令行 CMD秒进指定目录效率低的操作 win+r，输入cmd，然后跳到指定目录 ![å¨è¿éæå¥å¾çæè¿°][20200505161416213

我会带着你远行/ 2023年02月23日 03:36/ 0 赞/ 251 阅读

相关算法和数据结构最全最易懂总结

Java从算法到架构 2019-05-02 22:24:33 本文采用Java语言来进行描述，帮大家好好梳理一下数据结构与算法，在工作和面试中用的上。亦即总结常见的的数据结构

偏执的太偏执、/ 2022年04月25日 05:52/ 0 赞/ 272 阅读

相关全网最通俗易懂的Kafka入门

前言 > 只有光头才能变强。 > > 文本已收录至我的GitHub仓库，欢迎Star：https://github.com/ZhongFuCheng3y/3y 在这篇之前

﹏ヽ暗。殇╰゛Y/ 2021年08月27日 21:11/ 0 赞/ 617 阅读

相关全网最通俗易懂的 Kafka 入门

众所周知，消息队列的产品有好几种，这里我选择学习Kafka的原因，无他，公司在用。 > 我司使用的是Kafka和自研的消息队列(Kafka和RocketMQ)改版，于是

绝地灬酷狼/ 2021年08月19日 14:16/ 0 赞/ 580 阅读