MyBatis
1.什么是MyBatis？
MyBatis 是一款优秀的持久层框架
MyBatis 避免了几乎所有的 JDBC 代码和手动设置参数以及获取结果集的过程
MyBatis 可以使用简单的 XML 或注解来配置和映射原生信息，将接口和 Java 的 实体类 【Plain Old Java Objects,普通的 Java对象】映射成数据库中的记录。
MyBatis 本是apache的一个开源项目ibatis, 2010年这个项目由apache 迁移到了google code，并且改名为MyBatis 。
2.JDBC和MyBatis 对比
JDBC是一种执行SQL的JavaAPI，通过使用Java代码操作数据库，本质就是Java官方提供的一套规范，实现连接不同关系型数据库。
JDBC使用如下：
//1.导入jar包
//2.注册驱动
Class.forName("com.mysql.jdbc.Driver");
//3.获取连接
Connection conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/数据库名", "账号", "密码");
//4.获取执行对象 （推荐使用prepareStatement，防止SQL注入）
prepareStatement preStatement = conn.prepareStatement(sql);
//5.预编译
String sql = "select * from user where id = ? or name= ? ";
preStatement.setInt(1,uId);
preStatement.setString(2,uName);
//6.执行SQL并处理结果
prepareStatement ps = conn.prepareStatement(sql);
ResultSet rs = ps.executeQuery();
while(rs.next()){
};
//7.释放资源
rs.close();
ps.close();
conn.close();
1.) 传统代码大量的CRUD频繁连接关闭数据库，造成数据库资源浪费，影响数据库性能。
2.) SQL语句存在项目代码各个位置，不利于维护。
3.) 代码大量冗余。
3.MyBatis优势
MyBatis将SQL统一集中配置在XML文件中，即使sql改变不会对代码造成影响。
Mybatis自动将java对象映射至sql语句，通过statement中的parameterType定义输入参数的类型。
Mybatis支持将SQL片段模块化，将重复的SQL片段独立成一个SQL块，然后在各个SQL语句引用重复的SQL块。
4.#{} 和 ${} 的区别是什么？
符号类型
（1）#{}：参数占位符，即预编译，#作用相当于变量值替换
（2）${} ：字符串替换符，即SQL拼接，$作用相等于是字符串拼接
防注入问题
（1）#{}：很大程度上能防止sql 注入
（2）${}：不能防止sql 注入
参数解析
#会把传入的数据都当成一个字符串来处理，会在传入的数据上面加一个单引号来处理。
而$则是把传入的数据直接显示在sql语句中，不会添加单引号。
（1）#{}：将传入的数据都当成一个字符串，会对传入的变量自动加一个单引号。如：username = #{username }，如果传入的值是zhangsan，那么解析成sql时的值为username = ‘zhangsan’，如果传入的值是数值类型，比如输入11，则解析成的sql为username = ‘11’。
（2）${}：将传入的参数直接显示生成在sql中，且不加任何引号。如：username = ${username}，如果传入的值是111，那么解析成sql时的值为username = 111 ，不会报错，但如果传入的值是字符串类型，比如输入zhangsan，则解析成的sql为username = zhangsan，执行会报错，所以sql语句必须写出这样 username='${username}'。
#和$使用场景不同
(1)在sql语句中，如果要接收传递过来的变量的值的话，必须使用#。可以防止sql注入，并且在多次执行sql语句时可以提高效率。
(2)$只是简单的字符串拼接而已，所以要特别小心sql注入问题。对于sql语句中非变量部分，那就可以使用$，比如$方式一般用于传入数据库对象(如传入表名)。
select * from ${tableName}，$ 对于不同的表执行统一的查询操作时，就可以使用$来完成。
如果在sql语句中能同时使用#和$的时候，最好使用#。
SQL注入及避免：
SQL注入的原理：1）恶意拼接查询
我们知道，SQL 语句可以查询、插入、更新和删除数据，且使用分号来分隔不同的命令。例如：
SELECT * FROM users WHERE user_id = $user_id
其中，user_id 是传入的参数，如果传入的参数值为“1234; DELETE FROM users”，那么最终的查询语句会变为：
SELECT * FROM users WHERE user_id = 1234; DELETE FROM users
如果以上语句执行，则会删除 users 表中的所有数据。
2）利用注释执行非法命令。
SQL 语句中可以插入注释。例如：
SELECT COUNT(*) AS 'num' FROM game_score WHERE game_id=24411 AND version=$version
如果 version 包含了恶意的字符串'-1' OR 3 AND SLEEP(500)--，那么最终查询语句会变为：
SELECT COUNT(*) AS 'num' FROM game_score WHERE game_id=24411 AND version='-1' OR 3 AND SLEEP(500)--
以上恶意查询只是想耗尽系统资源，SLEEP(500) 将导致 SQL 语句一直运行。如果其中添加了修改、删除数据的恶意指令，那么将会造成更大的破坏。
3）传入非法参数
SQL 语句中传入的字符串参数是用单引号引起来的，如果字符串本身包含单引号而没有被处理，那么可能会篡改原本 SQL 语句的作用。 例如：
SELECT * FROM user_name WHERE user_name = $user_name
如果 user_name 传入参数值为 G'chen，那么最终的查询语句会变为：
SELECT * FROM user_name WHERE user_name ='G'chen'
一般情况下，以上语句会执行出错，这样的语句风险比较小。虽然没有语法错误，但可能会恶意产生 SQL 语句，并且以一种你不期望的方式运行。
4）添加额外条件
在 SQL 语句中添加一些额外条件，以此来改变执行行为。条件一般为真值表达式。例如：
UPDATE users SET userpass='$userpass' WHERE user_id=$user_id;
如果 user_id 被传入恶意的字符串“1234 OR TRUE”，那么最终的 SQL 语句会变为：
UPDATE users SET userpass= '123456' WHERE user_id=1234 OR TRUE;
这将更改所有用户的密码。
避免SQL注入：
对于 SQL 注入，我们可以采取适当的预防措施来保护数据安全。下面是避免 SQL 注入的一些方法。
1. 过滤输入内容，校验字符串
过滤输入内容就是在数据提交到数据库之前，就把用户输入中的不合法字符剔除掉。可以使用编程语言提供的处理函数或自己的处理函数来进行过滤，还可以使用正则表达式匹配安全的字符串。
如果值属于特定的类型或有具体的格式，那么在拼接 SQL 语句之前就要进行校验，验证其有效性。比如对于某个传入的值，如果可以确定是整型，则要判断它是否为整型，在浏览器端（客户端）和服务器端都需要进行验证。
2. 参数化查询
参数化查询目前被视作是预防 SQL 注入攻击最有效的方法。参数化查询是指在设计与数据库连接并访问数据时，在需要填入数值或数据的地方，使用参数（Parameter）来给值。
MySQL 的参数格式是以“?”字符加上参数名称而成，如下所示：
UPDATE myTable SET c1 = ?c1, c2 = ?c2, c3 = ?c3 WHERE c4 = ?c4
在使用参数化查询的情况下，数据库服务器不会将参数的内容视为 SQL 语句的一部分来进行处理，而是在数据库完成 SQL 语句的编译之后，才套用参数运行。因此就算参数中含有破坏性的指令，也不会被数据库所运行。
3. 安全测试、安全审计
除了开发规范，还需要合适的工具来确保代码的安全。我们应该在开发过程中应对代码进行审查，在测试环节使用工具进行扫描，上线后定期扫描安全漏洞。通过多个环节的检查，一般是可以避免 SQL 注入的。
有些人认为存储过程可以避免 SQL 注入，存储过程在传统行业里用得比较多，对于权限的控制是有一定用处的，但如果存储过程用到了动态查询，拼接 SQL，一样会存在安全隐患。
下面是在开发过程中可以避免 SQL 注入的一些方法。
1. 避免使用动态SQL
避免将用户的输入数据直接放入 SQL 语句中，最好使用准备好的语句和参数化查询，这样更安全。
2. 不要将敏感数据保留在纯文本中
加密存储在数据库中的私有/机密数据，这样可以提供了另一级保护，以防攻击者成功地排出敏感数据。
3. 限制数据库权限和特权
将数据库用户的功能设置为最低要求；这将限制攻击者在设法获取访问权限时可以执行的操作。
4. 避免直接向用户显示数据库错误
攻击者可以使用这些错误消息来获取有关数据库的信息。
一些编程框架对于写出更安全的代码也有一定的帮助，因为它提供了一些处理字符串的函数和使用查询参数的方法。但同样，你仍然可以编写出不安全的 SQL 语句。所以归根到底，我们需要有良好的编码规范，并能充分利用参数化查询、字符串处理和参数校验等多种办法来保护数据库和程序的安全。
5.# xml映射文件中，除了常见的 select、insert、update、delete 标签之外，还有哪些？
还有很多其他的标签，<resultMap>、<parameterMap>、<sql> 、<include>、<selectKey> ，加上动态sql的9个标签，trim|where|set|foreach|if|choose|when|otherwise|bind等，其中<sql>为sql片段标签，通过<include>标签引入sql片段，<selectKey>为不支持自增的主键生成策略标签。
6.# Dao接口的工作原理是什么？Dao接口里的方法，参数不同时，方法能重载吗？
通常一个xml映射文件，都会写一个Dao接口与之对应，就是人们常说的Mapper接口，接口的全限名，就是映射文件中的namespace的值，接口的方法名，就是映射文件中 MappedStatement的id值，接口方法内的参数，就是传递给sql的参数。 Mapper接口是没有实现类的，当调用接口方法时，接口全限名+方法名拼接字符串作为 key 值，可唯一定位一个MappedStatement。
举例：com.mybatis3.mappers. StudentDao.findStudentById ，可以唯一找到namespace为com.mybatis3.mappers. StudentDao 下面 id = findStudentById的MappedStatement。在MyBatis中，每一个 <select>、<insert>、 <update> 、<delete> 标签，都会被解析为一个MappedStatement对象。
Dao 接口里的方法可以重载，但是 Mybatis 的 xml 里面的 ID 不允许重复。
Mybatis的Dao 接口可以有多个重载方法，但是多个接口对应的映射必须只有一个，否则启动会报错。
Dao接口的工作原理是JDK动态代理，MyBatis运行时会使用JDK动态代理为Dao接口生成代理proxy对象，代理对象proxy会拦截接口方法，转而执行MappedStatement所代表的sql，然后将sql执行结果返回。
补充 ：
Dao接口方法可以重载，但是需要满足以下条件：
仅有一个无参方法和一个有参方法（多个有参方法时，参数数量必须一致。且使用相同的 @Param ，或者使用 param1 这种）
7.MyBatis 是如何进行分页的？分页插件的原理是什么？
（1）MyBatis 使用 RowBounds 对象进行分页，它是针对 ResultSet 结果集执行的内存分页，而非物理分页；
（2）可以在 sql 内直接书写带有物理分页的参数来完成物理分页功能，
（3）也可以使用分页插件来完成物理分页。
分页插件的基本原理是使用 MyBatis 提供的插件接口，实现自定义插件，在插件的拦截方法内拦截待执行 sql，然后重写sql，根据dialect方言，添加对应的物理分页语句和物理分页参数。
举例：select _ from student ，拦截 sql 后重写为：
select t._ from（select \* from student）t limit 0，10
8.# 简述 MyBatis 的插件运行原理，以及如何编写一个插件。
MyBatis 仅可以编写针对 ParameterHandler 、 ResultSetHandler 、 StatementHandler 、 Executor 这 4 种接口的插件，MyBatis 使用 JDK 的动态代理，为需要拦截的接口生成代理对象以实现接口方法拦截功能，每当执行这 4 种接口对象的方法时，就会进入拦截方法，具体就是 InvocationHandler 的 invoke() 方法，当然，只会拦截那些你指定需要拦截的方法。
实现 MyBatis 的 Interceptor 接口并复写 intercept() 方法，然后在给插件编写注解，指定要拦截哪一个接口的哪些方法即可，记住，别忘了在配置文件中配置你编写的插件。
9.# MyBatis 执行批量插入，能返回数据库主键列表吗？
能，JDBC 都能，MyBatis 当然也能。
10.# MyBatis 动态 sql 是做什么的？都有哪些动态 sql？能简述一下动态 sql 的执行原理不？
MyBatis 动态 sql 可以让我们在 xml 映射文件内，以标签的形式编写动态 sql，完成逻辑判断和动态拼接 sql 的功能。其执行原理为，使用 OGNL 从 sql 参数对象中计算表达式的值，根据表达式的值动态拼接 sql，以此来完成动态 sql 的功能。
MyBatis 提供了几种动态 sql 标签:
<if></if>
<where></where>(trim,set)
<choose></choose>（when, otherwise）
<foreach></foreach>
<bind/>
11.MyBatis 是如何将 sql 执行结果封装为目标对象并返回的？都有哪些映射形式？
第一种是使用 <resultMap> 标签，逐一定义列名和对象属性名之间的映射关系。
第二种是使用 sql 列的别名功能，将列别名书写为对象属性名，比如 T_NAME AS NAME，对象属性名一般是 name，小写，但是列名不区分大小写，MyBatis 会忽略列名大小写，智能找到与之对应对象属性名，你甚至可以写成 T_NAME AS NaMe，MyBatis 一样可以正常工作。
有了列名与属性名的映射关系后，MyBatis 通过反射创建对象，同时使用反射给对象的属性逐一赋值并返回，那些找不到映射关系的属性，是无法完成赋值的。
12.# MyBatis 能执行一对一、一对多的关联查询吗？都有哪些实现方式，以及它们之间的区别。
能，MyBatis 不仅可以执行一对一、一对多的关联查询，还可以执行多对一，多对多的关联查询，多对一查询，其实就是一对一查询，只需要把 selectOne() 修改为 selectList() 即可；多对多查询，其实就是一对多查询，只需要把 selectOne() 修改为 selectList() 即可。
一对一
有联合查询和嵌套查询：
（1）联合查询是几个表联合查询,只查询一次, 通过在resultMap里面配置association节点配置一对一的类就可以完成；
（2）嵌套查询是先查一个表，根据这个表里面的结果的外键id，去再另外一个表里面查询数据,也是通过association配置，但另外一个表的查询通过select属性配置。
一对多
有联合查询和嵌套查询。联合查询是几个表联合查询,只查询一次,通过在resultMap里面的collection节点配置一对多的类就可以完成；嵌套查询是先查一个表,根据这个表里面的 结果的外键id,去再另外一个表里面查询数据,也是通过配置collection,但另外一个表的查询通过select节点配置。
关联对象查询，有两种实现方式，一种是单独发送一个 sql 去查询关联对象，赋给主对象，然后返回主对象。另一种是使用嵌套查询，嵌套查询的含义为使用 join 查询，一部分列是 A 对象的属性值，另外一部分列是关联对象 B 的属性值，好处是只发一个 sql 查询，就可以把主对象和其关联对象查出来。
那么问题来了，join 查询出来 100 条记录，如何确定主对象是 5 个，而不是 100 个？
其去重复的原理是 <resultMap> 标签内的 <id> 子标签，指定了唯一确定一条记录的 id 列，MyBatis 根据 <id> 列值来完成 100 条记录的去重复功能， <id> 可以有多个，代表了联合主键的语意。
同样主对象的关联对象，也是根据这个原理去重复的，尽管一般情况下，只有主对象会有重复记录，关联对象一般不会重复。
举例：下面 join 查询出来 6 条记录，一、二列是 Teacher 对象列，第三列为 Student 对象列，MyBatis 去重复处理后，结果为 1 个老师 6 个学生，而不是 6 个老师 6 个学生。
| t_id | t_name | s_id |
| 1 | teacher | 38 |
| 1 | teacher | 39 |
| 1 | teacher | 40 |
| 1 | teacher | 41 |
| 1 | teacher | 42 |
| 1 | teacher | 43 |
<!-- 公民信息类resultMap --> <resultMap id="peopleResultMap" type="com.pjb.mybatis.po.People"> <id property="id" column="people_id" /> <result property="name" column="name"/> <result property="sex" column="sex"/> <result property="age" column="age"/> <!-- 关联的身份证信息 --> <association property="idcard" javaType="com.pjb.mybatis.po.IDcard"> <id property="id" column="card_id" /> <result property="idCardCode" column="idCard_code"/> </association> </resultMap> <!-- 一对一查询：获取公民信息与关联的身份证信息 --> <select id="getPeopleAndIdcard" parameterType="int" resultMap="peopleResultMap"> SELECT p.id AS people_id ,p.NAME ,p.sex ,p.age ,c.id AS card_id ,c.idCard_code FROM tab_people p LEFT JOIN tab_idcard c ON p.card_id = c.id WHERE p.id = #{peopleId} </select>
12.# MyBatis 是否支持延迟加载？如果支持，它的实现原理是什么？
MyBatis 仅支持 association 关联对象和 collection 关联集合对象的延迟加载，association 指的就是一对一，collection 指的就是一对多查询。在 MyBatis 配置文件中，可以配置是否启用延迟加载 lazyLoadingEnabled=true|false。
它的原理是，使用 CGLIB 创建目标对象的代理对象，当调用目标方法时，进入拦截器方法，比如调用 a.getB().getName() ，拦截器 invoke() 方法发现 a.getB() 是 null 值，那么就会单独发送事先保存好的查询关联 B 对象的 sql，把 B 查询上来，然后调用 a.setB(b)， 于是 a 的对象 b 属性就有值了，接着完成 a.getB().getName() 方法的调用。这就是延迟加载的基本原理。
当然了，不光是MyBatis，几乎所有的包括Hibernate，支持延迟加载的原理都是一样的。
13.# MyBatis 的 xml 映射文件中，不同的 xml 映射文件，id 是否可以重复？
不同的 xml 映射文件，如果配置了 namespace，那么 id 可以重复；如果没有配置 namespace，那么 id 不能重复；毕竟 namespace 不是必须的。
原因就是 namespace+id 是作为 Map<String, MappedStatement> 的 key 使用的，如果没有 namespace，就剩下 id，那么，id 重复会导致数据互相覆盖。有了 namespace，自然 id 就可以重复，namespace 不同，namespace+id 自然也就不同。
13.# MyBatis 中如何执行批处理？
使用 BatchExecutor 完成批处理。
14.# MyBatis 都有哪些 Executor 执行器？它们之间的区别是什么？
MyBatis 有三种基本的 Executor 执行器：
·SimpleExecutor： 每执行一次 update 或 select，就开启一个 Statement 对象，用完立刻关闭 Statement 对象。
·ReuseExecutor： 执行 update 或 select，以 sql 作为 key 查找 Statement 对象，存在就使用，不存在就创建，用完后，不关闭 Statement 对象，而是放置于 Map<String, Statement>内，供下一次使用。简言之，就是重复使用 Statement 对象。
·BatchExecutor ：执行 update（没有 select，JDBC 批处理不支持 select），将所有 sql 都添加到批处理中（addBatch()），等待统一执行（executeBatch()），它缓存了多个 Statement 对象，每个 Statement 对象都是 addBatch()完毕后，等待逐一执行 executeBatch()批处理。与 JDBC 批处理相同。
作用范围：Executor 的这些特点，都严格限制在 SqlSession 生命周期范围内。
15.# MyBatis 中如何指定使用哪一种 Executor 执行器？
在 MyBatis 配置文件中，可以指定默认的 ExecutorType 执行器类型，也可以手动给 DefaultSqlSessionFactory 的创建 SqlSession 的方法传递 ExecutorType 类型参数。
16.# MyBatis 是否可以映射 Enum 枚举类？
答：MyBatis 可以映射枚举类，不单可以映射枚举类，MyBatis 可以映射任何对象到表的一列上。映射方式为自定义一个 TypeHandler ，实现 TypeHandler 的 setParameter() 和 getResult() 接口方法。 TypeHandler 有两个作用：
一是完成从 javaType 至 jdbcType 的转换；
二是完成 jdbcType 至 javaType 的转换，体现为 setParameter() 和 getResult() 两个方法，分别代表设置 sql 问号占位符参数和获取列查询结果。
17.# MyBatis 映射文件中，如果 A 标签通过 include 引用了 B 标签的内容，请问，B 标签能否定义在 A 标签的后面，还是说必须定义在 A 标签的前面？
虽然 MyBatis 解析 xml 映射文件是按照顺序解析的，但是，被引用的 B 标签依然可以定义在任何地方，MyBatis 都可以正确识别。
原理是，MyBatis 解析 A 标签，发现 A 标签引用了 B 标签，但是 B 标签尚未解析到，尚不存在，此时，MyBatis 会将 A 标签标记为未解析状态，然后继续解析余下的标签，包含 B 标签，待所有标签解析完毕，MyBatis 会重新解析那些被标记为未解析的标签，此时再解析 A 标签时，B 标签已经存在，A 标签也就可以正常解析完成了。
18.# 简述 MyBatis 的 xml 映射文件和 MyBatis 内部数据结构之间的映射关系？
MyBatis 将所有 xml 配置信息都封装到 All-In-One 重量级对象 Configuration 内部。在 xml 映射文件中， <parameterMap> 标签会被解析为 ParameterMap 对象，其每个子元素会被解析为 ParameterMapping 对象。 <resultMap> 标签会被解析为 ResultMap 对象，其每个子元素会被解析为 ResultMapping 对象。每一个 <select>、<insert>、<update>、<delete> 标签均会被解析为 MappedStatement 对象，标签内的 sql 会被解析为 BoundSql 对象。
19.# 为什么说 MyBatis 是半自动 ORM 映射工具？它与全自动的区别在哪里？
Hibernate 属于全自动 ORM 映射工具，使用 Hibernate 查询关联对象或者关联集合对象时，可以根据对象关系模型直接获取，所以它是全自动的。而 MyBatis在查询关联对象或关联集合对象时，需要手动编写sql来完成，所以，称之为半自动ORM映射工具。
