華閱文章網mybatis中的$和#的區別
1. #將傳入的數據都當成一個字符串，會對自動傳入的數據加一個雙引號。
如：order by #user_id#，如果傳入的值是111，那么解析成sql時的值為order by "111"， 如果傳入的值是id，則解析成的sql為order by "id".2. $將傳入的數據直接顯示生成在sql中。如：order by $user_id$，如果傳入的值是111，那么解析成sql時的值為order by user_id， 如果傳入的值是id，則解析成的sql為order by id.3. #方式能夠很大程度防止sql注入。
4.$方式無法防止Sql注入。5.$方式一般用于傳入數據庫對象，例如傳入表名.6.一般能用#的就別用$.MyBatis排序時使用order by 動態參數時需要注意，用$而不是#字符串替換默認情況下，使用#{}格式的語法會導致MyBatis創建預處理語句屬性并以它為背景設置安全的值（比如？）。
這樣做很安全，很迅速也是首選做法，有時你只是想直接在SQL語句中插入一個不改變的字符串。比如，像ORDER BY，你可以這樣來使用：ORDER BY ${columnName}這里MyBatis不會修改或轉義字符串。
重要：接受從用戶輸出的內容并提供給語句中不變的字符串，這樣做是不安全的。這會導致潛在的SQL注入攻擊，因此你不應該允許用戶輸入這些字段，或者通常自行轉義并檢查。
mybatis本身的說明：？12345String SubstitutionBy default, using the #{} syntax will cause MyBatis to generate PreparedStatement properties and set the values safely against the PreparedStatement parameters (e.g. ?). While this is safer, faster and almost always preferred, sometimes you just want to directly inject a string unmodified into the SQL Statement. For example, for ORDER BY, you might use something like this:ORDER BY ${columnName}Here MyBatis won't modify or escape the * It's not safe to accept input from a user and supply it to a statement unmodified in this way. This leads to potential SQL Injection attacks and therefore you should either disallow user input in these fields, or always perform your own escapes and checks.從上文可以看出：1. 使用#{}格式的語法在mybatis中使用Preparement語句來安全的設置值，執行sql類似下面的：？12PreparedStatement ps = *eStatement(sql);*(1,id)；這樣做的好處是：更安全，更迅速，通常也是首選做法。2. 不過有時你只是想直接在 SQL 語句中插入一個不改變的字符串。
比如，像 ORDER BY，你可以這樣來使用：？1ORDER BY ${columnName}此時MyBatis 不會修改或轉義字符串。這種方式類似于：？12Statement st = *Statement();ResultSet rs = *eQuery(sql)；這種方式的缺點是：以這種方式接受從用戶輸出的內容并提供給語句中不變的字符串是不安全的，會導致潛在的 SQL 注入攻擊，因此要么不允許用戶輸入這些字段，要么自行轉義并檢驗。
mybatis 動態sql or怎么傳值
一 if標簽
SELECT * from STUDENT_TBL ST
WHERE *T_NAME LIKE CONCAT(CONCAT('%', #{studentName}),'%')
二 where標簽
SELECT * from STUDENT_TBL ST
*T_NAME LIKE CONCAT(CONCAT('%', #{studentName}),'%')
AND *T_SEX = #{studentSex}
如果它包含的標簽中有返回值的話就插入一個where。此外如果標簽返回的內容是以AND或OR開頭的，則它會剔除掉。
mybatis中的#和$；的區別
1. #將傳入的數據都當成一個字符串，會對自動傳入的數據加一個雙引號。
如：order by #user_id#，如果傳入的值是111，那么解析成sql時的值為order by "111"， 如果傳入的值是id，則解析成的sql為order by "id".2. $將傳入的數據直接顯示生成在sql中。如：order by $user_id$，如果傳入的值是111，那么解析成sql時的值為order by user_id， 如果傳入的值是id，則解析成的sql為order by id.3. #方式能夠很大程度防止sql注入。
4.$方式無法防止Sql注入。5.$方式一般用于傳入數據庫對象，例如傳入表名.6.一般能用#的就別用$.MyBatis排序時使用order by 動態參數時需要注意，用$而不是#字符串替換默認情況下，使用#{}格式的語法會導致MyBatis創建預處理語句屬性并以它為背景設置安全的值（比如？）。
這樣做很安全，很迅速也是首選做法，有時你只是想直接在SQL語句中插入一個不改變的字符串。比如，像ORDER BY，你可以這樣來使用：ORDER BY ${columnName}這里MyBatis不會修改或轉義字符串。
重要：接受從用戶輸出的內容并提供給語句中不變的字符串，這樣做是不安全的。這會導致潛在的SQL注入攻擊，因此你不應該允許用戶輸入這些字段，或者通常自行轉義并檢查。
mybatis本身的說明：？12345String SubstitutionBy default, using the #{} syntax will cause MyBatis to generate PreparedStatement properties and set the values safely against the PreparedStatement parameters (e.g. ?). While this is safer, faster and almost always preferred, sometimes you just want to directly inject a string unmodified into the SQL Statement. For example, for ORDER BY, you might use something like this:ORDER BY ${columnName}Here MyBatis won't modify or escape the * It's not safe to accept input from a user and supply it to a statement unmodified in this way. This leads to potential SQL Injection attacks and therefore you should either disallow user input in these fields, or always perform your own escapes and checks.從上文可以看出：1. 使用#{}格式的語法在mybatis中使用Preparement語句來安全的設置值，執行sql類似下面的：？12PreparedStatement ps = *eStatement(sql);*(1,id)；這樣做的好處是：更安全，更迅速，通常也是首選做法。2. 不過有時你只是想直接在 SQL 語句中插入一個不改變的字符串。
比如，像 ORDER BY，你可以這樣來使用：？1ORDER BY ${columnName}此時MyBatis 不會修改或轉義字符串。這種方式類似于：？12Statement st = *Statement();ResultSet rs = *eQuery(sql)；這種方式的缺點是：以這種方式接受從用戶輸出的內容并提供給語句中不變的字符串是不安全的，會導致潛在的 SQL 注入攻擊，因此要么不允許用戶輸入這些字段，要么自行轉義并檢驗。
mybatis中#和$的區別
首先通過下面兩條sql及打印的執行sql，清楚明了的看一下它們的區別：12345678假設入參傳入的是1，打印執行sql如下： Preparing:select * from user where id=1 and password=11111112345678同樣入參傳入1，打印的執行sql如下： Preparing:select * from user where id=? and password=? Parameters:1(String),111111(String)MyBatis啟用了預編譯功能，在SQL執行前，會先將上面的SQL發送給數據庫進行編譯；執行時，如果入參為#{}格式的，將入參替換編譯好的sql中的占位符“？”；如果入參格式為${}，則直接使用編譯好的SQL就可以了。
因為SQL注入只能對編譯過程起作用，所以使用#{}入參的方式可以很好地避免了SQL注入的問題。mybatis預編譯底層實現原理 MyBatis是如何做到SQL預編譯的呢？其實在框架底層，是JDBC中的PreparedStatement類在起作用，PreparedStatement是我們很熟悉的Statement的子類，它的對象包含了編譯好的SQL語句。
這種“準備好”的方式不僅能提高安全性，而且在多次執行同一個SQL時，能夠提高效率。原因是SQL已編譯好，再次執行時無需再編譯。
總結 #{}：相當于JDBC中的PreparedStatement ${}：是輸出變量的值 簡單說，#{}是經過預編譯的，是安全的；${}是未經過預編譯的，僅僅是取變量的值，是非安全的，存在SQL注入。番外（sql注入） 還是以上面的兩條sql為例，入參id的值傳入“1 or userId=2”，入參pwd的值傳入“111111”。
以#{}格式傳入入參后的執行sql: select * from user where userId=”1 or userId=2” and password = “111111”； 以${}格式傳入入參后的執行sql: select * from user where userId=1 or userId=2 and password = 111111；很顯然，以${}格式傳入入參后的執行sql打亂了我們的預期sql格式及查詢條件，從而實現sql注入。所以，除了order by 等需要傳入數據庫字段等的入參使用${}，其他的盡量使用#{}。
MyBatis中的標簽和where子句的區別
where標簽為MyBatis的動態語句。
select * from user
id=#{id}
and name=#{name}
and gender = #{gender}
上述代碼中若where標簽里的if全不成立，則不走where語句。
若第一個if標簽里ID的值為null的話，那么打印出來的SQL為：select * from user where name=”xx” and gender=”xx”
會把AND/OR自動忽略掉。
若直接用where子句的話可能會導致sql語法錯誤，查詢失敗。
mybatis 運行sql語句怎么找
在項目中，使用的是mybatis3.0.5，但沒有采用其提供的DAO層接口映射的策略，而且在進行多種屬性聯合查找時，需要底層提供通用的解決方案，所以需要mybatis直接執行sql語句，各個daoImpl均可調用，減少了在每個mybatis文件中配置符合當前對象的select查詢。
（在mybatis中，需要通過傳遞對象，在select中判斷對象屬性是否為空進行where語句的拼湊，對后期的維護工作帶來不小的考驗，所以采用直接執行sql策略）
先說一說配置時，遇到的異常：
Xml代碼
${sql}
這樣配置時，會出現：there no getter sql in * 的異常
所以考慮：用一個適配器，將sql作為屬性加入其中
首先：
Xml代碼
其次：
Java代碼
public class SQLAdapter {
String sql;
public SQLAdapter(String sql) {
* = sql;
}
public String getSql() {
return sql;
}
public void setSql(String sql) {
* = sql;
}
}
最后：
Xml代碼
${sql}
注意，不要忘記在調用該select方法時，用new SqlAdapter（"自己寫的sql語句"）作為參數哦。。。
搞定。
真能折騰人的，這個直接寫 value 不就可以了？
${value}
轉載請注明出處華閱文章網 » mybatisor語句
