面试突击76:${} 和 #{} 有什么区别?

数据库 其他数据库
虽然使用 #{} 的方式可以处理任意类型的参数,然而当传递的参数是一个 SQL 命令或 SQL 关键字时 #{} 就会出问题了。比如,当我们要根据价格从高到低(倒序)、或从低到高(正序)查询时。

${} 和 #{} 都是 MyBatis 中用来替换参数的,它们都可以将用户传递过来的参数,替换到 MyBatis 最终生成的 SQL 中,但它们区别却是很大的,接下来我们一起来看。

1.功能不同

${} 是将参数直接替换到 SQL 中,比如以下代码:

<select id="getUserById" resultType="com.example.demo.model.UserInfo">
select * from userinfo where id=${id}
</select>

最终生成的执行 SQL 如下:

图片

从上图可以看出,之前的参数 ${id} 被直接替换成具体的参数值 1 了。而 #{} 则是使用占位符的方式,用预处理的方式来执行业务,我们将上面的案例改造为 #{} 的形式,实现代码如下:

<select id="getUserById" resultType="com.example.demo.model.UserInfo">
select * from userinfo where id=#{id}
</select>

最终生成的 SQL 如下:

图片

${} 的问题

当参数为数值类型时(在不考虑安全问题的前提下),${} 和 #{} 的执行效果都是一样的,然而当参数的类型为字符时,再使用 ${} 就有问题了,如下代码所示:

<select id="getUserByName" resultType="com.example.demo.model.UserInfo">
select * from userinfo where name=${name}
</select>

以上程序执行时,生成的 SQL 语句如下:

图片

这样就会导致程序报错,因为传递的参数是字符类型的,而在 SQL 的语法中,如果是字符类型需要给值添加单引号,否则就会报错,而 ​${} 是直接替换,不会自动添加单引号,所以执行就报错了。而使用 #{} 采用的是占位符预执行的,所以不存在任何问题,它的实现代码如下:

<select id="getUserByName" resultType="com.example.demo.model.UserInfo">
select * from userinfo where name=#{name}
</select>

以上程序最终生成的执行 SQL 如下:

图片

2.使用场景不同

虽然使用 #{} 的方式可以处理任意类型的参数,然而当传递的参数是一个 SQL 命令或 SQL 关键字时 #{} 就会出问题了。比如,当我们要根据价格从高到低(倒序)、或从低到高(正序)查询时,如下图所示:

图片

此时我们要传递的排序的关键字,desc 倒序(价格从高到低)或者是 asc 正序(价格从低到高),此时我们使用 ​${} 的实现代码瑞安:

<select id="getAll" resultType="com.example.demo.model.Goods">
select * from goods order by price ${sort}
</select>

以上代码生成的执行 SQL 和运行结果如下:

图片

但是,如果将代码中的 ${} 改为 #{},那么程序执行就会报错,#{} 的实现代码如下:

<select id="getAll" resultType="com.example.demo.model.Goods">
select * from goods order by price #{sort}
</select>

以上代码生成的执行 SQL 和运行结果如下:

图片

从上述的执行结果我们可以看出:当传递的是普通参数时,需要使用 #{} 的方式,而当传递的是 SQL 命令或 SQL 关键字时,需要使用 ​${} 来对 SQL 中的参数进行直接替换并执行。

3.安全性不同

${}​ 和 #{} 最主要的区别体现在安全方面,当使用 ${} 会出现安全问题,也就是 SQL 注入的问题,而使用 #{} 因为是预处理的,所以不会存在安全问题,我们通过下面的登录功能来观察一下二者的区别。

3.1 使用 ${} 实现用户登录

UserMapper.xml 中的实现代码如下:

<select id="login" resultType="com.example.demo.model.UserInfo">
select * from userinfo where name='${name}' and password='${password}'
</select>

单元测试代码如下:

@Test
void login() {
UserInfo userInfo = userMapper.login("java", "java");
System.out.println(userInfo);
}

以上代码生成的执行 SQL 和运行结果如下:

图片

从结果可以看出,当我们传入了正确的用户名和密码时,能成功的查询到数据。但是,在我们使用 ​${} 时,当我们在不知道正确密码的情况下,使用 SQL 注入语句也能用户的私人信息,SQL 注入的实现代码如下:

@Test
void login() {
UserInfo userInfo = userMapper.login("java", "' or 1='1");
System.out.println(userInfo);
}

以上代码生成的执行 SQL 和运行结果如下:

图片

从上述结果可以看出,当使用 ${} 时,在不知道正确密码的情况下也能得到用户的私人数据,这就像一个小偷在没有你们家钥匙的情况下,也能轻松的打开你们家大门一样,这是何其恐怖的事情。那使用 #{} 有没有安全问题呢?接下来我们来测试一下。

3.2 使用 #{} 实现用户登录

首先将 UserMapper.xml 中的代码改成以下内容:

<select id="login" resultType="com.example.demo.model.UserInfo">
select * from userinfo where name=#{name} and password=#{password}
</select>

接着我们使用上面的 SQL 注入来测试登录功能:

@Test
void login() {
UserInfo userInfo = userMapper.login("java", "' or 1='1");
System.out.println(userInfo);
}

最终生成的 SQL 和执行结果如下:

图片

从上述代码可以看出,使用 SQL 注入是无法攻破 #{} 的“大门”的,所以可以放心使用。

总结

${}​ 和 #{} 都是 MyBatis 中用来替换参数的,它们二者的区别主要体现在:1、功能不同:${}​ 是直接替换,而 #{} 是预处理;2、使用场景不同:普通参数使用 #{},如果传递的是 SQL 命令或 SQL 关键字,需要使用 ${}​,但在使用前一定要做好安全验证;3、安全性不同:使用 ${} 存在安全问题,而 #{} 则不存在安全问题。

责任编辑:武晓燕 来源: Java面试真题解析
相关推荐

2022-08-03 07:04:56

GETHTTPPOST

2022-08-10 07:06:57

IoCDISpring

2022-04-24 07:59:53

synchronizJVMAPI

2022-08-15 07:06:50

Propertiesyml配置

2022-02-08 07:02:32

进程线程操作系统

2023-03-26 21:51:42

2022-04-26 08:02:00

locktryLocklockInterr

2022-10-09 20:52:19

事务隔离级别传播机制

2022-05-09 07:37:04

Java非公平锁公平锁

2022-08-29 07:05:02

JSRJava语言

2022-03-16 07:33:40

守护线程用户线程语言

2022-01-11 06:53:23

面试重写重载

2022-07-18 07:11:35

请求转发请求重定数据共享

2024-09-19 08:42:43

2024-04-03 15:33:04

JWTSession传输信息

2023-02-17 08:02:45

@Autowired@Resource

2023-02-01 07:15:16

2023-02-17 08:10:24

2022-06-13 07:36:06

MySQLInnoDB索引

2024-09-24 13:49:13

SQL数据库
点赞
收藏

51CTO技术栈公众号