Mybatis中的#与$的区别

翎野君

发布于 2023-05-12 19:55:38

75300

代码可运行

文章被收录于专栏：翎野君翎野君

运行总次数：0

代码可运行

一、对比场景

场景：数据库分表时，需要将分表的表序号传入的sql中。

SpringBoot中使用注解如下：

@Insert("insert into collect_#{tblNum}(id,user_id,resource_id,resource_name,author,album,resource_type,create_time,update_time)" +
            " values (uuid(),#{userId},#{collect.resourceId},#{collect.resourceName},#{collect.author}," +
            "#{collect.album},#{collect.resourceType},#{time},#{time})")

报错提示找不到表

2018-06-20 08:55:04.398 ERROR [http-nio-9902-exec-2][CollectController.java:69] - org.springframework.jdbc.UncategorizedSQLException: 
### Error updating database.  Cause: java.sql.SQLException: sql injection violation, syntax error: syntax error, error in :'into collect_?(id,user_id,r',expect QUES, actual QUES collect_ : insert into collect_?(id,user_id,resource_id,resource_name,author,album,resource_type,create_time,update_time) values (uuid(),?,?,?,?,?,?,?,?)
### SQL: insert into collect_?(id,user_id,resource_id,resource_name,author,album,resource_type,create_time,update_time) values (uuid(),?,?,?,?,?,?,?,?)
### Cause: java.sql.SQLException: sql injection violation, syntax error: syntax error, error in :'into collect_?(id,user_id,r',expect QUES, actual QUES collect_ : insert into collect_?(id,user_id,resource_id,resource_name,author,album,resource_type,create_time,update_time) values (uuid(),?,?,?,?,?,?,?,?)
; uncategorized SQLException for SQL []; SQL state [null]; error code [0]; sql injection violation, syntax error: syntax error, error in :'into collect_?(id,user_id,r',expect QUES, actual QUES r1_mini_collect_ : insert into collect_?(id,user_id,resource_id,resource_name,author,album,resource_type,create_time,update_time) values (uuid(),?,?,?,?,?,?,?,?); nested exception is java.sql.SQLException: sql injection violation, syntax error: syntax error, error in :'into r1_mini_collect_?(id,user_id,r',expect QUES, actual QUES collect_ : insert into collect_?(id,user_id,resource_id,resource_name,author,album,resource_type,create_time,update_time) values (uuid(),?,?,?,?,?,?,?,?)

解决办法：将collect_#{tblNum}修改为collect_${tblNum}即可解决问题。

二、#与$的区别

Mybatis中的#与$的区别如下

#将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号，所以我们在插入字符串的时候不需要加''或者“”，因为这个是#帮我们加上的。如：order by #{user_id}，如果传入的值是123,那么解析成sql时的值为order by "123", 如果传入的值是id，则解析成的sql为order by "id".
将传入的数据直接显示生成在sql中，如：order by {user_id}，如果传入的值是123,那么解析成sql时的值为order by 123, 如果传入的值是id，则解析成的sql为order by id。
#方式能够很大程度防止sql注入，$方式无法防止Sql注入。
$方式一般用于传入数据库对象，例如传入表名。
一般能用#的就别用$. 。

参考文章：

https://blog.csdn.net/downkang/article/details/12499197

本文参与腾讯云自媒体同步曝光计划，分享自作者个人站点/博客。

原始发表：2018-06-20，如有侵权请联系 cloudcommunity@tencent.com 删除

数据库