- **正确答案**：在 MyBatis 中，`#` 和 `$` 都是用来在 SQL 语句中插入参数的占位符，但它们的处理方式不同。`#` 是预编译处理（使用 `PreparedStatement`），会对输入进行自动类型转换和防 SQL 注入处理；而 `$` 是直接字符串替换（使用 `Statement`），不会做任何转义或类型处理，存在 SQL 注入风险。 - **解答思路**： 1. 理解 MyBatis 参数绑定机制的基本原理。 2. 区分 `#` 和 `$` 在底层是如何被处理的。 3. 分析其安全性、性能以及适用场景。 4. 结合代码示例说明两者区别。 - **深度知识讲解**： ### 一、MyBatis 参数绑定机制 MyBatis 支持两种参数绑定方式： - `#{}`：使用 `PreparedStatement` 进行参数设置，防止 SQL 注入。 - `${}`：使用字符串拼接方式，直接将参数值插入到 SQL 中，不进行预编译，容易导致 SQL 注入。 ### 二、底层实现原理对比 | 特性 | `#{}` | `${}` | |----------------|----------------------------------|-----------------------------------| | 底层机制 | 使用 PreparedStatement | 使用字符串拼接 | | 是否预编译 | 是 | 否 | | 是否防止SQL注入 | 是 | 否（易受攻击） | | 类型处理 | 自动处理类型转换 | 不处理类型 | | 性能 | 更好（可缓存执行计划） | 可能较差（每次生成新SQL） | | 推荐用途 | 所有常规参数传递 | 动态列名、表名、排序字段等不可预编译内容 | ### 三、常见错误与安全问题使用 `${}` 时，如果用户输入未经过滤或转义，可能会导致 SQL 注入攻击。例如： ```sql SELECT * FROM users WHERE username = '${username}'; ``` 如果传入的 `username` 是 `' OR '1'='1`，最终 SQL 将变成： ```sql SELECT * FROM users WHERE username = '' OR '1'='1'; ``` 这会导致返回所有用户数据，造成安全隐患。 ### 四、何时使用 `#{}`？何时使用 `${}`？ - 使用 `#{}` 的场景： - 插入、更新、查询中的字段值。 - 所有需要防止 SQL 注入的地方。 - 需要类型安全处理的参数。 - 使用 `${}` 的场景： - 动态列名（如 `ORDER BY ${column}`）。 - 表名动态切换（如 `FROM ${tableName}`）。 - 构建复杂的 SQL 拼接逻辑，无法通过 `#{}` 实现的情况。 > 注意：即使必须使用 `${}`，也应对外部输入进行严格的校验和白名单过滤。 - **代码示例**：假设有如下 Mapper XML 配置片段： ```xml ``` Java 调用示例： ```java UserMapper mapper = sqlSession.getMapper(UserMapper.class); // 使用 #{} 安全传参 User user = mapper.getUserByName("Tom"); // 使用 ${} 动态排序字段 List users = mapper.getUsersByColumn("age"); ``` 输出对应的 SQL（假设 name 为 "Tom"）： ``` SELECT * FROM users WHERE name = ?; -- 使用预编译，参数 Tom 被安全绑定 SELECT * FROM users ORDER BY age; -- 直接替换为 age 字段 ``` > 提示：对于 `${}` 的使用，建议封装成枚举或者配置项，避免直接暴露给用户输入。 --- ### 扩展知识点： #### 1. SQL 注入原理与防御 SQL 注入是通过构造恶意输入，篡改 SQL 语句结构，从而获取非法数据或破坏数据库。MyBatis 的 `#{}` 机制可以有效防止注入，因为它使用了 `PreparedStatement`，参数会被当作值而非 SQL 语句的一部分。 #### 2. JDBC 中 Statement 与 PreparedStatement 的区别 - `Statement`：用于执行静态 SQL 语句，每次执行都会重新编译 SQL。 - `PreparedStatement`：用于执行带参数的 SQL 语句，SQL 会被预编译，参数只是替换值，不会改变语义。 #### 3. MyBatis 缓存机制优化使用 `#{}` 有助于利用数据库的执行计划缓存，提高性能；而 `${}` 每次生成不同的 SQL 字符串，可能导致数据库频繁重新编译 SQL，影响性能。 #### 4. 其他相关语法 - `@Param` 注解：用于命名多个参数。 - `` 标签：可以在 XML 中定义变量，增强动态 SQL 的灵活性。 - 动态 SQL：``、``、``、`` 等标签，常用于构建复杂查询条件。 --- 总结：在实际开发中，应优先使用 `#{}` 来绑定参数，只有在确实需要动态拼接列名、表名等不可预编译内容时才使用 `${}`，并且要对输入进行严格校验以避免 SQL 注入风险。

27java广东中厂面经

全站热榜

创作者周榜