我的个人博客

[!question] #{} 和 ${} 的区别是什么？

• ${}是 Properties 文件中的变量占位符，它可以用于标签属性值和 sql 内部，属于原样文本替换，可以替换任意内容，比如${driver}会被原样替换为com.mysql.jdbc. Driver。
• #{}是 sql 的参数占位符，MyBatis 会将 sql 中的#{}替换为? 号，在 sql 执行前会使用 PreparedStatement 的参数设置方法，按序给 sql 的? 号占位符设置参数值，比如 ps.setInt(0, parameterValue)，#{item.name} 的取值方式为使用反射从参数对象中获取 item 对象的 name 属性值，相当于 param.getItem().getName()。
• 符号$，它会把参数值直接进行替换，而不会进行预编译（如果使用占位符#，就会进行预编译，从而可以防止SQL注入

1 MyBatis避免SQL注入

2 SQL语句映射模式

基于xml

<mapper namespace="mapper.UserMapper">
    <!--结果集映射(ORM)-->
    <resultMap id="userResultMap" type="entity.UserEntity">
        <!-- propery表示UserEntity属性名，column表示tb_user表字段名-->
        <id property="id" column="id" />
        <result property="userName" column="user_name" />
        <result property="password" column="password" />
        <result property="name" column="name" />
        <result property="age" column="age" />
        <result property="sex" column="sex" />
        <result property="birthday" column="birthday" />
        <result property="created" column="created" />
        <result property="updated" column="updated" />
    </resultMap>

    <!--select查询语句 id表示接口方法名 resultMap表示引用结果集映射-->
    <select id="selectUserByAge"  resultMap="userResultMap">
        select * from tb_user where age > #{age}
    </select>
</mapper>

基于注解

@Select("select * from tb_user where age > #{age}")
@Results(value = {
            @Result(property = "id",column = "id",id = true),
            @Result(property = "userName",column = "userName"),
            @Result(property = "password",column = "password"),
            @Result(property = "name",column = "name"),
            @Result(property = "sex",column = "sex"),
            @Result(property = "age",column = "age"),
            @Result(property = "birthday",column = "birthday"),
            @Result(property = "created",column = "created"),
            @Result(property = "updated",column = "updated")
 })
 public List<UserEntity> selectUserByAge(@Param("age") int age);