【MyBatis】预编译SQL与即时SQL

news/2025/3/12 12:24:15/

目录

1. 以基本类型参数为例测试#{ }与${ }传递参数的区别

1.1 参数为Integer类型

1.2 参数为String类型

2. 使用#{ }传参存在的问题

2.1 参数为排序方式

2.2 模糊查询

 3. 使用${ }传参存在的问题

3.1 SQL注入

3.2 对比#{ } 与 ${ }在SQL注入方面存在的问题

3.3 预编译SQL与即时SQL

3.4 解决模糊查询只能使用${}的问题

使用MyBatis进行数据库操作在进行参数传递时，有#{ } 与 ${ }两种方式。

本文介绍两种方式的区别；

1. 以基本类型参数为例测试#{ }与${ }传递参数的区别

1.1 参数为Integer类型

在UserInfoMapper文件中创建selectOne方法，分别使用#{ } 与 ${ }传递参数：

package com.zhouyou.mybatisdemo1.mapper;
import com.zhouyou.mybatisdemo1.model.UserInfo;
import org.apache.ibatis.annotations.*;import java.util.List;@Mapper
public interface UserInfoMapper {@Select("select* from userinfo where id= #{id}")UserInfo selectOne(Integer id);
}

编写测试类UserInfoMapperTest及测试方法：

package com.zhouyou.mybatisdemo1.mapper;import com.zhouyou.mybatisdemo1.model.UserInfo;
import lombok.extern.slf4j.Slf4j;
import org.junit.jupiter.api.Test;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.boot.test.context.SpringBootTest;import java.util.List;import static org.junit.jupiter.api.Assertions.*;
@Slf4j
@SpringBootTest
class UserInfoMapperTest {@Autowiredprivate UserInfoMapper userInfoMapper;@Testvoid selectOne() {log.info(userInfoMapper.selectOne(4).toString());}
}

 使用#{ }的运行测试类情况：

使用${ }的运行测试类情况：

可见当参数为Intgeer类型时，使用#{ } 与 ${ }均可正确传递参数；

1.2 参数为String类型

在UserInfoMapper文件中创建selectOneByName方法，分别使用#{ } 与 ${ }传递参数：

package com.zhouyou.mybatisdemo1.mapper;
import com.zhouyou.mybatisdemo1.model.UserInfo;
import org.apache.ibatis.annotations.*;import java.util.List;@Mapper
public interface UserInfoMapper {@Select("select* from userinfo where username =#{username}")
//    @Select("select* from userinfo where username =${username}")UserInfo selectOneByName(String name);
}

编写测试类UserInfoMapperTest及测试方法：

package com.zhouyou.mybatisdemo1.mapper;import com.zhouyou.mybatisdemo1.model.UserInfo;
import lombok.extern.slf4j.Slf4j;
import org.junit.jupiter.api.Test;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.boot.test.context.SpringBootTest;import java.util.List;import static org.junit.jupiter.api.Assertions.*;
@Slf4j
@SpringBootTest
class UserInfoMapperTest {@Autowiredprivate UserInfoMapper userInfoMapper;@Testvoid selectOneByName() {log.info(userInfoMapper.selectOneByName("zhangsan").toString());}
}

启动测试类，

对于使用#{ } 进行参数传递的方法，可正确运行；

对于使用${ } 进行参数传递的方法报错如下：

使用#{ }时，如果参数为String类型，会自动加上'  ' ，

使用${ }时，会直接进行拼接，故如果参数为字符串类型，需手动增加 '  '，修改SQL语句如下：

@Select("select* from userinfo where username ='${username}'")

重启测试类，启动成功，日志如下：

2. 使用#{ }传参存在的问题

2.1 参数为排序方式

现以实现升序（参数为asc）或降序（参数为desc）的全列查询为例，分别使用#{ } 与 ${ }进行参数传递：

1、使用#{ }进行参数传递：

在UserInfoMapper中编写排序方法：

    // 排序@Select("select* from userinfo order by id #{sort}")List<UserInfo> selectUserBySort(String sort);

生成测试方法并对排序结果进行打印：

    @Testvoid selectUserBySort() {log.info(userInfoMapper.selectUserBySort("asc").toString());}

启动测试类，报错如下： 

2、使用${ }参数传递：

在UserInfoMapper中编写修改排序方法，使用${ }传参：

    @Select("select* from userinfo order by id ${sort}")List<UserInfo> selectUserBySort(String sort);

启动测试类，运行成功：

可见当参数为sql查询语句的排序方式：asc与desc时，若使用#{ }进行参数传递，则在该字符串上加上' '会造成错误，因此对于参数为排序方式的方法，只能使用${ }进行参数传递；

不止排序方式，包括参数为表名、字段名等作为参数时，也不能使用#{ }进行参数传递；

2.2 模糊查询

1、使用#{ }参数传递：

 在UserInfoMapper中编写排序方法：

    // 模糊查询@Select("select* from userinfo where username like '%#{partPara}%' ")List<UserInfo> selectUserByLike(String partPara);

生成测试方法并对排序结果进行打印：

    @Testvoid selectUserByLike() {log.info(userInfoMapper.selectUserByLike("tian").toString());}

启动测试类，报错如下： 

可见由于#{ }由于增加引号，也使得模糊查询出现问题。

2、使用${ }参数传递：

  在UserInfoMapper中修改排序方法，使用${ }传递参数：

    // 模糊查询@Select("select* from userinfo where username like '%${partPara}%' ")List<UserInfo> selectUserByLike(String partPara);

启动测试类，运行成功，查询结果如下：

 3. 使用${ }传参存在的问题

3.1 SQL注入

SQL注入：是指将另外的SQL语句作为参数，执行后修改了原本的SQL语句，从而通过执行代码对服务器进行攻击。

比如：正常SQL如下：以参数为'admin'为例：

select* from userinfo where username= 'admin'

试传参为 'or 1 = ' 1，（使用'or 1 = ' 1直接替换admin），则SQL语句变为：

select* from userinfo where username= ''or 1 = ' 1'

1='1'恒成立，故会导致进行全列查询，获取userinfo整张表的信息。

3.2 对比#{ } 与 ${ }在SQL注入方面存在的问题

1、使用# { }传参：

 在UserInfoMapper文件中创建selectOneByName方法，使用#{ } 传递参数：

package com.zhouyou.mybatisdemo1.mapper;
import com.zhouyou.mybatisdemo1.model.UserInfo;
import org.apache.ibatis.annotations.*;import java.util.List;@Mapper
public interface UserInfoMapper {@Select("select* from userinfo where username =${username}")UserInfo selectOneByName(String name);
}

编写测试类UserInfoMapperTest及测试方法：

package com.zhouyou.mybatisdemo1.mapper;import com.zhouyou.mybatisdemo1.model.UserInfo;
import lombok.extern.slf4j.Slf4j;
import org.junit.jupiter.api.Test;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.boot.test.context.SpringBootTest;import java.util.List;import static org.junit.jupiter.api.Assertions.*;
@Slf4j
@SpringBootTest
class UserInfoMapperTest {@Autowiredprivate UserInfoMapper userInfoMapper;@Testvoid selectOneByName() {log.info(userInfoMapper.selectOneByName("'or 1='1 ").toString());}
}

运行启动类，可见发生了SQL注入，使得查询到了整张表的信息：

2、使用# { }传参：

修改UserInfoMapper文件中的selectOneByName方法，改为使用#{ }传参：

    @Select("select* from userinfo where username =#{username}")List<UserInfo> selectOneByName(String name);

重新启动测试类，查询结果如下：

可见使用#{ }进行参数传递并未发生SQL注入问题；

3.3 预编译SQL与即时SQL

1、对于使用#{ }进行参数传递的SQL语句采取预编译的方式，称为预编译SQL，SQL执行会进行语法解析、SQL优化、SQL编译等步骤，可避免SQL注入的发生；

2、对于使用${ }进行参数传递的SQL语句采取即时的方式，称为即时SQL，直接对参数进行拼接，有出现SQL注入的风险；

可见综合比对，使用#{}进行参数传递是更安全的选择。

3.4 解决模糊查询只能使用${}的问题

为了防止模糊查询使用${ }进行参数传递时导致的SQL注入问题，可以使用mysql的内置函数CONCAT搭配#{ }进行参数传递实现模糊查询：

    @Select("select* from userinfo where username like CONCAT('%',#{partPara},'%')")List<UserInfo> selectUserByLike(String partPara);

测试函数传递参数为tian： 

在实际开发中，尽量都使用#{ }进行传递。


http://www.ppmy.cn/news/1573081.html

相关文章

Python异步编程优雅实践

Python异步编程优雅实践

Python 异步编程是现代高效开发的重要技能&#xff0c;尤其在处理 I/O 密集型任务&#xff08;如网络请求、文件操作&#xff09;时表现出色。本文将从基础概念入手&#xff0c;逐步深入到高级实践&#xff0c;帮助读者掌握 asyncio 和 aiohttp 等核心工具&#xff0c;最终实现…
阅读更多...
利用亚马逊云科技RDS for SQL Server配置向量数据存储

利用亚马逊云科技RDS for SQL Server配置向量数据存储

生成式人工智能&#xff08;AI&#xff09;正迎来又一个快速发展期&#xff0c;引起了开发者们的广泛关注。将生成式能力集成到商业服务和解决方案中变得非常重要。当前的生成式AI解决方案是机器学习和深度学习模型逐步进化迭代的结果。从深度学习到生成式AI的质变飞跃主要是由…
阅读更多...
XX食品有限公司智能制造汇报材料(71页PPT)

XX食品有限公司智能制造汇报材料(71页PPT)

该文档是XX食品有限公司的智能制造汇报材料&#xff0c;内容涵盖行业背景及竞争对手分析、公司智能制造现状和规划方案。报告指出&#xff0c;食品工业在“一带一路”战略下大市场趋势显著&#xff0c;且国家品牌战略推进使品牌文化热情高涨。同时&#xff0c;婴幼儿、青少年、…
阅读更多...
12苍穹外卖之工作台（Apache POI、Excel）

12苍穹外卖之工作台（Apache POI、Excel）

课程内容 工作台 Apache POI 导出运营数据Excel报表 功能实现&#xff1a;工作台、数据导出 工作台效果图&#xff1a; 数据导出效果图&#xff1a; 在数据统计页面点击数据导出&#xff1a;生成Excel报表 1. 工作台 1.1 需求分析和设计 1.1.1 产品原型 工作台是系统运…
阅读更多...
SQL Server 导入Excel数据

SQL Server 导入Excel数据

1、选中指定要导入到哪个数据库&#xff0c;右键选择 》任务 》导入数据 2、数据源 选择Excel&#xff0c;点击 下一步(Next) 3、目前 选择OLE DB Provider &#xff0c;点击 下一步&#xff08;Next&#xff09; 4、默认 &#xff0c;点击 下一步&#xff08;Next&#xff09;…
阅读更多...
【16届蓝桥杯寒假刷题营】第1期DAY4

【16届蓝桥杯寒假刷题营】第1期DAY4

4.可达岛屿的个数 - 蓝桥云课 题目背景 在一个神奇的魔法世界中&#xff0c;有一座古老的迷幻之城。迷幻之城被分成 n 个鸟屿&#xff0c;编号从 1 到 n&#xff0c;共有 m 座桥。迷幻之城的居民们希望能够建立起紧密的联系&#xff0c;每个岛屿上的居民都想知道自己最多能到…
阅读更多...
16-使用QtChart创建动态图表：入门指南

16-使用QtChart创建动态图表：入门指南

QtChart是Qt框架中的一个强大模块&#xff0c;用于创建各种类型的图表&#xff0c;如折线图、柱状图、饼图等。它提供了丰富的API和灵活的配置选项&#xff0c;使得开发者能够轻松地将数据可视化集成到应用程序中。本文将介绍如何使用QtChart创建一个简单的动态折线图&#xff…
阅读更多...
使用 HTML CSS 和 JAVASCRIPT 的黑洞动画

使用 HTML CSS 和 JAVASCRIPT 的黑洞动画

使用 HTML CSS 和 JAVASCRIPT 的黑洞动画 <!DOCTYPE html> <html lang"en"> <head><meta charset"UTF-8"><meta name"viewport" content"widthdevice-width, initial-scale1.0"><title>Black Ho…
阅读更多...
最新文章

Copyright @ 2022~2023