MyBatis的使用三(在sql语句中传值)
本文主要介绍在mybatis中如何在sql语句中传递参数
一. #{ } 和 ${ }
1. #{ } 和 ${ }的区别
#{ }是预编译处理 ==> PreparedStatement
${ }是字符串替换 ==> Statement
mybatis在处理 #{ } 时,会将sql中的 # { } 替换为?号,调用PreparedStatement的set()方法来赋值;
mybatis在处理 ${ } 时,会将 ${ } 替换成变量的值。
因此 #{ }可以防止sql注入,而 ${ }不可以防止sql注入。
注意:在使用 ${ }时,需要在 ${ } 打上 ' ',即 ' ${ } '。
2. #{ } 和 ${ } 的使用
2.1 当查询条件只有一个时
首先看看UserMapper接口的定义:
public interface UserMapper { // 按照姓名查询数据 User getUserByName(String username); }
1)在UserMapper.xml文件中,使用 #{ } 传递参数
<mapper namespace="com.hspedu.mapper.UserMapper"> <!--User getUserByName()--> <select id="getUserByName" resultType="User"> <!--select * from t_user where username = #{username}--> select * from t_user where username = #{param2} </select> </mapper>
测试test
// 按姓名查询数据 @Test public void selectUserByName(){ SqlSession sqlSession = SqlSessionUtils.getSqlSession(); UserMapper mapper = sqlSession.getMapper(UserMapper.class); User jack = mapper.getUserByName("jack"); System.out.println(jack); SqlSessionUtils.closeSqlSession(); }
运行结果
xml文件中的sql语句
select * from t_user where username = #{param2}
上述的sql语句解析为:
select * from t_user where username = 'jack'
注意:当mapper接口的查询方法的形参列表只有一个的情况下, #{ }中的参数可以随便书写
2)在在UserMapper.xml文件中,使用 ${ } 传递参数
<mapper namespace="com.hspedu.mapper.UserMapper"> <!--User getUserByName()--> <select id="getUserByName" resultType="User"> select * from t_user where username = '${param2}' </select> </mapper>
注意:在使用 ${ }时,需要在 ${ } 打上 ' ',即 ' ${ } '。
测试test
// 按姓名查询数据 @Test public void selectUserByName(){ SqlSession sqlSession = SqlSessionUtils.getSqlSession(); UserMapper mapper = sqlSession.getMapper(UserMapper.class); User jack = mapper.getUserByName("jack"); System.out.println(jack); SqlSessionUtils.closeSqlSession(); }
运行结果
xml文件中的sql语句
select * from t_user where username = '${param2}'
上述的sql语句解析为
select * from t_user where username = 'jack'
由此可见,${ } 并没有预编译处理,但是 #{ } 有预编译处理,显示出 #{ } 的安全性 【防止sql注入】
注意:当mapper接口查询方法的形参列表只有一个的时候,${ }中的参数可以随便书写
2.2 当查询条件不只有一个时
以使用 #{ } 传递参数 举例
情况1:若UserMapper接口声明如下
public interface UserMapper { // 按照姓名和密码查询 User checkLogin(String username,String password); }
则 在xml文件中使用args0,args1,param1,param2...作为 #{ }的参数
<mapper namespace="com.hspedu.mapper.UserMapper"> <!--User checkLogin(String username,String password)--> <select id="checkLogin" resultType="User" > <!--Available parameters are [arg1, arg0, param1, param2]--> select * from t_user where username = #{param1} and password = #{param2} </select> </mapper>
如果不用args0,args1,param1,param2...,则会报如下异常
org.apache.ibatis.exceptions.PersistenceException:
### Error querying database. Cause: org.apache.ibatis.binding.BindingException: Parameter 'param' not found. Available parameters are [arg1, arg0, param1, param2]
### Cause: org.apache.ibatis.binding.BindingException: Parameter 'param' not found. Available parameters are [arg1, arg0, param1, param2]
情况2:若UserMapper接口声明如下
public interface UserMapper { // 参数map查询数据 User checkLoginByMap(Map<String,Object> map); }
则 在UserMapper接口的checkLogin()中传入Map类型,达到自定义 #{ } 中参数的名称
xml文件声明如下,#{ } 传入的参数即Map中K键
<mapper namespace="com.hspedu.mapper.UserMapper"> <!--User checkLoginByMap(Map<String,Object> map)--> <select id="checkLoginByMap" resultType="User" > select * from t_user where username = #{username} and password = #{password} </select> </mapper>
测试test
@Test public void selectByMap(){ SqlSession sqlSession = SqlSessionUtils.getSqlSession(); UserMapper mapper = sqlSession.getMapper(UserMapper.class); HashMap<String, Object> map = new HashMap<>(); map.put("username","jack"); map.put("password","tom12345"); User user = mapper.checkLoginByMap(map); System.out.println(user); SqlSessionUtils.closeSqlSession(); System.out.println(sqlSession); }
注意:在这种情况下,#{ } 的参数必须是形参Map的 key 键。
情况3:UserMapper接口声明如下
public interface UserMapper { // 参数为User添加数据 int insertByUser(User user); }
则 在xml文件声明如下,#{ } 的参数即为User类的属性
<mapper namespace="com.hspedu.mapper.UserMapper"> <!--int insertUser(User user)--> <insert id="insertByUser" > insert into t_user values(null,#{username},#{password},#{age},#{gender},#{email}) </insert> </mapper>
测试test
// 测试使用对象作为参数,添加用户 @Test public void testInsertByUser(){ SqlSession sqlSession = SqlSessionUtils.getSqlSession(); UserMapper mapper = sqlSession.getMapper(UserMapper.class); User user = new User(null, "hsp", "hsp12345", 25, "男", "hsp123@qq.com"); int i = mapper.insertByUser(user); System.out.println(i); sqlSession.close(); }
情况4:UserMapper接口声明如下
public interface UserMapper { // @Param作为参数 User checkLoginByParam(@Param("user") String username,@Param("pwd") String password); }
xml文件声明如下,使用@Param注解,指明在 #{ } 中传入的参数,更加方便
<mapper namespace="com.hspedu.mapper.UserMapper"> <!--User checkLoginByParam(@Param("user") String username,@Param("pwd") String password)--> <select id="checkLoginByParam" resultType="User" > select * from t_user where username = #{user} and password = #{pwd} </select> </mapper>
测试test
@Test // 通过注解@Param传递参数 public void testByParam(){ SqlSession sqlSession = SqlSessionUtils.getSqlSession(); UserMapper mapper = sqlSession.getMapper(UserMapper.class); User user = mapper.checkLoginByParam("jack", "tom12345"); System.out.println(user); sqlSession.close(); }
二. 总结
在 #{ } 中:增加,修改使用情况3的处理方式,传入User实体类对象
查询,使用情况4的处理方式,在mapper接口定义的方法的形参列表中 添加 @Param注解。