文章目录
1、第一个#{}
解释：
- 使用#{}格式的语法在mybatis中使用preparement语句来安全的设置值
PreparedStatement ps = conn.prepareStatement(sql);
ps.setInt(1,id);
举列子：
- 执行sql语句：
select * from user where name = #{username} - 参数：username ：xiaowang
- 解析后执行的sql语句：
select * from user where name = ？
#方式能够很大程度上防止sql注入
2、第二个${}
解释
- 有时你只想直接在SQL中插入一个不改变的字符串，$将传入的数据直接显示生成在sql中
Statament st =conn.createStatement();
ResultSet rs = st.executeSuery(sql);
举列子：
执行sql语句：select * from user where name = ${username}
参数：username= xiaoming
解析后执行的SQL语句：select * from user where name = xiaoming
sql注入的实际例子
select id from users where username = '"+username +"' and password = '"这里的username和password从前台获取，假如未对传入的数据进行验证，用户输入的是or 1= 1，执行的sql变成select id from users where username = '' or 1=1-- and password = '随便输入'，由于1=1 是正确的，则直接不执行后边的验证。就离谱
3、区别
#方式能够很大程度防止sql注入，$无法防止sql注入
- $方式一般用于传入数据库对象
- 使用$要么不允许用户输入这些字段，要么进行转义并检验
- 能用#就不用$