mybatis #{} 和 ${}
以前印象里#{}可以防止注入,所以一直都是使用#{}。直到最近踩了坑,才去又理了一遍#{}和${}的区别。
事情是这样,我在xml中写sql的时候 查询列的是不确定的 要由条件传入。 我当时写的sql如下:
SELECT #{XXXX} AS NUM FROM TABLE1。
但是我发现查询结果是NUM这个字段的值一直是XXX。
查了下#{}和${}的区别才知道。 #{}会把里面的数据直接转成字符串,所以我的SQL在被mybatis解析出来后就是 SELECT "XXX" AS NUM,这会直接将XXX值赋给NUM,所以导致了我查询结果不对。
而${}并不会将里面的数据转成字符串,还是要 SELECT XXX列。所以只用将#{}替换成${}就好了。
不过也正是因为 #{}多了一步转成字符串的步骤,才能防止SQL注入。