Mybatis中的#与$的区别

2023-05-12 19:55:38 浏览数 (1)

一、对比场景

场景：数据库分表时，需要将分表的表序号传入的sql中。

SpringBoot中使用注解如下：

代码语言：javascript复制
@Insert("insert into collect_#{tblNum}(id,user_id,resource_id,resource_name,author,album,resource_type,create_time,update_time)"  
            " values (uuid(),#{userId},#{collect.resourceId},#{collect.resourceName},#{collect.author},"  
            "#{collect.album},#{collect.resourceType},#{time},#{time})")　　

报错提示找不到表

代码语言：javascript复制
2018-06-20 08:55:04.398 ERROR [http-nio-9902-exec-2][CollectController.java:69] - org.springframework.jdbc.UncategorizedSQLException: 
### Error updating database.  Cause: java.sql.SQLException: sql injection violation, syntax error: syntax error, error in :'into collect_?(id,user_id,r',expect QUES, actual QUES collect_ : insert into collect_?(id,user_id,resource_id,resource_name,author,album,resource_type,create_time,update_time) values (uuid(),?,?,?,?,?,?,?,?)
### SQL: insert into collect_?(id,user_id,resource_id,resource_name,author,album,resource_type,create_time,update_time) values (uuid(),?,?,?,?,?,?,?,?)
### Cause: java.sql.SQLException: sql injection violation, syntax error: syntax error, error in :'into collect_?(id,user_id,r',expect QUES, actual QUES collect_ : insert into collect_?(id,user_id,resource_id,resource_name,author,album,resource_type,create_time,update_time) values (uuid(),?,?,?,?,?,?,?,?)
; uncategorized SQLException for SQL []; SQL state [null]; error code [0]; sql injection violation, syntax error: syntax error, error in :'into collect_?(id,user_id,r',expect QUES, actual QUES r1_mini_collect_ : insert into collect_?(id,user_id,resource_id,resource_name,author,album,resource_type,create_time,update_time) values (uuid(),?,?,?,?,?,?,?,?); nested exception is java.sql.SQLException: sql injection violation, syntax error: syntax error, error in :'into r1_mini_collect_?(id,user_id,r',expect QUES, actual QUES collect_ : insert into collect_?(id,user_id,resource_id,resource_name,author,album,resource_type,create_time,update_time) values (uuid(),?,?,?,?,?,?,?,?)

解决办法：将collect_#{tblNum}修改为collect_${tblNum}即可解决问题。

二、#与$的区别

Mybatis中的#与$的区别如下

  1. #将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号，所以我们在插入字符串的时候不需要加''或者“”，因为这个是#帮我们加上的。如：order by #{user_id}，如果传入的值是123,那么解析成sql时的值为order by "123", 如果传入的值是id，则解析成的sql为order by "id".
  2. 将传入的数据直接显示生成在sql中，如：order by {user_id}，如果传入的值是123,那么解析成sql时的值为order by 123,  如果传入的值是id，则解析成的sql为order by id。
  3. #方式能够很大程度防止sql注入，$方式无法防止Sql注入。
  4. $方式一般用于传入数据库对象，例如传入表名。
  5. 一般能用#的就别用$. 。

参考文章：

https://blog.csdn.net/downkang/article/details/12499197

数据库 mybatis time 数据 字符串

0 人点赞