携手创作，共同成长！这是我参与「掘金日新计划 · 8 月更文挑战」的第9天，[点击查看活动详情](https://juejin.cn/post/7123120819437322247 "https://juejin.cn/post/7123120819437322247") `${}` 和 #{} 都是 MyBatis 中用来替换参数的，它们都可以将用户传递过来的参数，替换到 MyBatis 最终生成的 SQL 中，但它们区别却是很大的，接下来我们一起来看。 ## 1.功能不同 **${} 是将参数直接替换到 SQL 中**，比如以下代码： ```xml ``` 最终生成的执行 SQL 如下： ![image.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/a0d78a5a9c80466ab26f7fe9b3753515~tplv-k3u1fbpfcp-zoom-1.image) 从上图可以看出，之前的参数 ${id} 被直接替换成具体的参数值 1 了。而 **#{} 则是使用占位符的方式，用预处理的方式来执行业务**，我们将上面的案例改造为 #{} 的形式，实现代码如下： ```xml ``` 最终生成的 SQL 如下： ![image.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/da1a14beccad49279bbb8809c359aa3e~tplv-k3u1fbpfcp-zoom-1.image) ### ${} 的问题当参数为数值类型时（在不考虑安全问题的前提下），`${}` 和 #{} 的执行效果都是一样的，然而当参数的类型为字符时，再使用 ${} 就有问题了，如下代码所示： ```xml ``` 以上程序执行时，生成的 SQL 语句如下： ![image.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/02d7f054ebf5445698658921f4879864~tplv-k3u1fbpfcp-zoom-1.image) 这样就会导致程序报错，因为传递的参数是字符类型的，而在 SQL 的语法中，如果是字符类型需要给值添加单引号，否则就会报错，而 `${}` 是直接替换，不会自动添加单引号，所以执行就报错了。而使用 #{} 采用的是占位符预执行的，所以不存在任何问题，它的实现代码如下： ```xml ``` 以上程序最终生成的执行 SQL 如下： ![image.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/2ffcc49e4ee44150b03f9b22417391f5~tplv-k3u1fbpfcp-zoom-1.image) ## 2.使用场景不同虽然使用 #{} 的方式可以处理任意类型的参数，然而当传递的参数是一个 SQL 命令或 SQL 关键字时 #{} 就会出问题了。比如，当我们要根据价格从高到低（倒序）、或从低到高（正序）查询时，如下图所示： ![image.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/39c5c40ec2394bbc9c98cec6f3fd9dae~tplv-k3u1fbpfcp-zoom-1.image) 此时我们要传递的排序的关键字，desc 倒序（价格从高到低）或者是 asc 正序（价格从低到高），此时我们使用 `${}` 的实现代码瑞安： ```xml ``` 以上代码生成的执行 SQL 和运行结果如下： ![image.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/c3271035309344f49ff61c8dd4edd252~tplv-k3u1fbpfcp-zoom-1.image) 但是，如果将代码中的 ${} 改为 #{}，那么程序执行就会报错，#{} 的实现代码如下： ```xml ``` 以上代码生成的执行 SQL 和运行结果如下： ![image.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/a8f5e36121d2429baa3d8426c09d3829~tplv-k3u1fbpfcp-zoom-1.image) 从上述的执行结果我们可以看出：**当传递的是普通参数时，需要使用 #{} 的方式，而当传递的是 SQL 命令或 SQL 关键字时，需要使用 `${}` 来对 SQL 中的参数进行直接替换并执行。** ## 3.安全性不同 `${}` 和 #{} 最主要的区别体现在安全方面，当**使用 `${}` 会出现安全问题，也就是 SQL 注入的问题，而使用 #{} 因为是预处理的，所以不会存在安全问题**，我们通过下面的登录功能来观察一下二者的区别。 ### 3.1 使用 ${} 实现用户登录 UserMapper.xml 中的实现代码如下： ```xml ``` 单元测试代码如下： ```java @Test void login() { UserInfo userInfo = userMapper.login("java", "java"); System.out.println(userInfo); } ``` 以上代码生成的执行 SQL 和运行结果如下： ![image.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/89626091811748c3afe2e1fd242d0ace~tplv-k3u1fbpfcp-zoom-1.image) 从结果可以看出，当我们传入了正确的用户名和密码时，能成功的查询到数据。但是，在我们使用 `${}` 时，当我们在不知道正确密码的情况下，使用 SQL 注入语句也能用户的私人信息，SQL 注入的实现代码如下： ```java @Test void login() { UserInfo userInfo = userMapper.login("java", "' or 1='1"); System.out.println(userInfo); } ``` 以上代码生成的执行 SQL 和运行结果如下： ![image.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/b2f4a8a847864b04b2eeeb189bcfbc74~tplv-k3u1fbpfcp-zoom-1.image) 从上述结果可以看出，**当使用 ${} 时，在不知道正确密码的情况下也能得到用户的私人数据，这就像一个小偷在没有你们家钥匙的情况下，也能轻松的打开你们家大门一样**，这是何其恐怖的事情。那使用 #{} 有没有安全问题呢？接下来我们来测试一下。 ### 3.2 使用 #{} 实现用户登录首先将 UserMapper.xml 中的代码改成以下内容： ```xml ``` 接着我们使用上面的 SQL 注入来测试登录功能： ```java @Test void login() { UserInfo userInfo = userMapper.login("java", "' or 1='1"); System.out.println(userInfo); } ``` 最终生成的 SQL 和执行结果如下： ![image.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/bc67937e721d445c93b9888689cbf6f1~tplv-k3u1fbpfcp-zoom-1.image) 从上述代码可以看出，**使用 SQL 注入是无法攻破 #{} 的“大门”的，所以可以放心使用。** ## 总结 `${}` 和 #{} 都是 MyBatis 中用来替换参数的，它们二者的区别主要体现在：1、功能不同：`${}` 是直接替换，而 #{} 是预处理；2、使用场景不同：普通参数使用 #{}，如果传递的是 SQL 命令或 SQL 关键字，需要使用 `${}`，但在使用前一定要做好安全验证；3、安全性不同：使用 `${}` 存在安全问题，而 #{} 则不存在安全问题。 > 是非审之于己，毁誉听之于人，得失安之于数。 > > 公众号：Java面试真题解析 > > 面试合集：[https://gitee.com/mydb/interview](https://gitee.com/mydb/interview)