- 正确答案：在 MyBatis 中，#{} 和 ${} 都用于在 SQL 映射文件中插入动态参数，但它们在处理方式、安全性和使用场景上有本质区别。#{} 是预编译处理的占位符（PreparedStatement），会将参数作为预编译参数传入，防止 SQL 注入；而 ${} 是字符串替换，直接将参数值拼接到 SQL 语句中，存在 SQL 注入风险，适用于动态表名、列名等无法使用预编译的场景。 - 解答思路：首先理解 MyBatis 是如何与 JDBC 交互的。JDBC 提供了两种执行 SQL 的方式：Statement 和 PreparedStatement。#{} 对应 PreparedStatement 的 ? 占位符机制，参数在执行前被安全地绑定；${} 则对应使用 Statement 直接拼接 SQL 字符串。因此，应优先使用 #{}，仅在必须动态拼接 SQL 结构（如表名、排序字段）时使用 ${}，并确保输入可控。 - 深度知识讲解： 1. JDBC 底层机制： - PreparedStatement 使用预编译机制，SQL 模板先被数据库解析并缓存执行计划，参数在执行时传入，不会参与 SQL 解析，因此无法通过参数改变 SQL 结构，从而防止 SQL 注入。 - Statement 则是将完整的 SQL 字符串发送给数据库，若参数拼接不当，攻击者可注入额外 SQL 语句。 2. MyBatis 参数处理流程： - 当使用 #{} 时，MyBatis 会创建 PreparedStatement，并通过 setString、setInt 等方法设置参数值。例如： SQL: SELECT * FROM user WHERE id = #{id} 实际执行：SELECT * FROM user WHERE id = ?，参数[id=1] 通过 setInt(1) 绑定。 - 当使用 ${} 时，MyBatis 直接进行字符串替换： SQL: SELECT * FROM ${tableName} 若 tableName = "user"，则生成：SELECT * FROM user 若 tableName = "user; DROP TABLE other"，则可能导致 SQL 注入。 3. 数据结构与解析过程： - MyBatis 在解析 SQL 语句时，会扫描 #{} 和 ${} 表达式。 - #{} 被解析为 ParameterMapping 对象，记录参数名、类型处理器等信息，用于后续参数绑定。 - ${} 被解析为 TextSqlNode 或 StaticTextSqlNode，在 SQL 构建阶段通过 OGNL 表达式求值后直接替换。 4. 性能影响： - #{} 支持 SQL 执行计划缓存，提升性能。 - ${} 每次拼接出不同的 SQL 字符串，数据库需重新解析，无法利用执行计划缓存。 5. 安全建议： - 永远不要对用户输入的内容使用 ${}，除非经过严格校验（如白名单）。 - 排序列、数据库名、表名等动态部分若必须动态化，应通过 Java 枚举或配置项控制，避免直接使用用户输入。 - 代码示例（Mapper XML）： ``` ``` - 扩展知识点： 1. OGNL 表达式：${} 支持 OGNL（Object-Graph Navigation Language），可以访问对象属性，如 ${user.name}。 2. 类型处理器（TypeHandler）：#{} 参数绑定时会根据 Java 类型选择合适的 TypeHandler 进行数据库类型转换。 3. 动态 SQL 中的使用：在、等标签中通常使用 #{}，而 ${} 多用于的 SQL 片段或动态 ORDER BY。 4. 防注入最佳实践：始终使用 #{}，对必须使用 ${} 的场景进行输入验证，例如通过正则表达式限制表名只能为字母数字组合。总结：#{} 是参数化查询，安全高效，应作为首选；${} 是文本替换，灵活但危险，仅用于 SQL 结构动态化且输入可信的场景。理解其底层 JDBC 原理和 MyBatis 解析机制，有助于写出更安全、高效的持久层代码。

实在智能实习二面彻底凉透

全站热榜

创作者周榜