Mybatis 框架学习_6_mapper.xml 文件中的输入参数详解 (paraterType)

1.简介

在前面的章节中,我们看到,在 mapper.xml 文件中,都使用  #{value} 或者 #{属性值} 的方式来显示输入参数,其实 mybatis 还支持另一种写法。 ${value} 或者 ${属性值},本章着重讲解下 ${} 的使用方法;

2. # 和 $ 二者异同

2.1 不同点如下

  • #{} 这种方式会自动给 {} 里面的值附上 ‘ ‘(单引号);${} 这种方式只是会原样输出
  • #{} 这种方式可以防止 sql 注入;${} 这种方式不可以防止 sql 注入

但是请注意:因为  $ 有  sql  注入的风险,所以尽量使用  #{} 的形式。

3. $ 的使用场景

$ {} 只使用在动态排序的应用中。何为动态排序,即:如我们现有如下表:

create table person
(
    id int(10) auto_increment comment 人员ID
        primary key,
    name varchar(20) null comment 姓名,
    age int(20) null comment 年龄,
    sex int(10) null comment 性别:1-男,0-女
)
comment 人力表
;

我们想根据传值不同分别依靠姓名、年龄进行排序,此时我们希望得到的 sql 如下,select * from person order by name desc;或者 select * from person order by age desc。如果我们此时采用 #{},那么我们得到的 sql 就是 select * from person order by ‘name‘,显然有了单引号不是我们期待的结果。

此时我们的 mapper.xml 文件应该如下配置:

 <!--进行动态排序后进行查询-->
    <select id="selectOrderByValue" resultType="Person" parameterType="String">
        select * from person order by ${value} ASC 
    </select>

此时程序执行结果为:

Mybatis 框架学习_6_mapper.xml 文件中的输入参数详解 (paraterType)

 

 此时如果我们写成

 <!--进行动态排序后进行查询-->
    <select id="selectOrderByValue" resultType="Person" parameterType="String">
        select * from person order by #{value} ASC 
    </select>

程序是不会报错的,但是此时的执行结果为:

Mybatis 框架学习_6_mapper.xml 文件中的输入参数详解 (paraterType)

 

 即 order by  后面的 用于排序的字段不会生效;

4.总结

不到万不得已。请禁止使用  ${}的样式;

 

Mybatis 框架学习_6_mapper.xml 文件中的输入参数详解 (paraterType)

上一篇:javascript版万年历


下一篇:判断浏览器是pc端和移动