Mybatis
0
Word Count: 569(words)
Read Count: 2(minutes)
mysql Mybatis井号#与$的区别
mybatis中使用ParameterType向sql语句传参，在sql语句中引用这些参数的时候，有两种方式：#parameterName, $parameterName。
1， #是一个占位符，$是拼接符。
#是一个占位符，$是拼接符。
（1）使用#parameterName方式引用参数的时候，Mybatis会把传入的参数当成是一个字符串，自动添加双引号。
（2）使用$parameterName引用参数时，不做任何处理，直接将值拼接在sql语句中。
2，使用 # 能够防止sql注入，$不能避免注入攻击。
#的方式引用参数，mybatis会先对sql语句进行预编译，然后再引用值，能够有效防止sql注入，提高安全性。$的方式引用参数，sql语句不进行预编译。
3 ，总结
建议使用# 。
$ 预编译
预编译就是将#{}替换成？占位符，然后在执行时替换成实际传入的user_id值
1
2
| 10:27:20.247 [main] DEBUG william.mybatis.quickstart.mapper.UserMapper.selectById - ==> Preparing: select id, user_name from t_user where id = ?
10:27:20.285 [main] DEBUG william.mybatis.quickstart.mapper.UserMapper.selectById - ==> Parameters: 1(Long)
|
因为"#{}"会在传入的值两端加上单引号，所以可以很大程度上防止SQL注入
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
| Mybatis框架下易产生SQL注入漏洞的情况主要分为以下三种：
1、模糊查询
Select * from news where title like ‘%#{title}%’
在这种情况下使用#程序会报错，新手程序员就把#号改成了$,这样如果java代码层面没有对用户输入的内容做处理势必会产生SQL注入漏洞。
正确写法：
select * from news where tile like concat(‘%’,#{title}, ‘%’)
2、in 之后的多个参数
in之后多个id查询时使用# 同样会报错，
Select * from news where id in (#{ids})
正确用法为使用foreach，而不是将#替换为$
id in
<foreach collection="ids" item="item" open="("separatosr="," close=")">
#{ids}
</foreach>
3、order by 之后
这种场景应当在Java层面做映射，设置一个字段/表名数组，仅允许用户传入索引值。这样保证传入的字段或者表名都在白名单里面。需要注意的是在mybatis-generator自动生成的SQL语句中，order by使用的也是$，而like和in没有问题。
|
