微信公众号 讲师中心
首页
文章
web3.0 后端开发 web前端 数据库 开发工具 php框架 常见问题 科技 Java 系统教程 电脑教程 硬件教程 手机教程 软件教程 游戏教程 自媒体 新闻
专题
后端开发 web前端 数据库 开发工具 php框架 科技 Java 系统教程 电脑教程 硬件教程 手机教程 软件教程 游戏教程 新闻
AI工具
AI 聊天问答 Agent智能体 AI 文本写作 AI 绘画作图 AI 设计工具 AI 视频创作 AI 音频制作 AI 办公学习 AI 编程开发 Prompt指令
学习
大前端 后端开发 数据库 移动端 运维开发 计算机基础
编程手册
大前端 JavaScript 后端开发 数据库 移动端 运维开发 UI设计 计算机基础 XML Web Services
下载
js特效 网站源码 工具下载 类库下载 网站素材 学习资源 插件扩展 手机/移动开发 手机游戏
最近更新
搜索
web3.0 后端开发 web前端 数据库 开发工具 php框架 常见问题 科技 Java 系统教程 电脑教程 硬件教程 手机教程 软件教程
游戏教程 自媒体 新闻
首页 > Java > Java面试题 > 正文

mybatis 中 #{}和 ${}的区别是什么？

月夜之吻
发布： 2025-09-20 08:23:01
原创
610人浏览过
{}采用预编译处理，防止SQL注入，自动转义并加引号；2. ${}为字符串直接替换，存在安全风险，需手动校验；3. 优先使用#{}，仅在动态表名等场景慎用${}。

mybatis 中 #{}和 ${}的区别是什么？

在 MyBatis 中，#{} 和 ${} 都用于在 SQL 语句中插入动态参数，但它们的处理方式和安全性有本质区别。

#{}：预编译处理（推荐使用）

MyBatis 会将 #{} 占位符替换为 ?，然后通过 PreparedStatement 的参数设置机制来赋值。这种方式可以有效防止 SQL 注入，是更安全的选择。

  • 参数会被自动加上引号（如果是字符串类型）
  • 特殊字符会被转义
  • 支持基本类型、对象、Map 等多种数据源取值
例如：select * from user where id = #{id} → 实际执行：select * from user where id = ?

${}：直接字符串替换（需谨慎使用）

MyBatis 会直接把 ${} 中的内容拼接到 SQL 语句中，不做任何转义或预处理。相当于简单的字符串替换，存在 SQL 注入风险。

魔乐社区
魔乐社区

天翼云和华为联合打造的AI开发者社区，支持AI模型评测训练、全流程开发应用

魔乐社区102
查看详情 魔乐社区
  • 常用于动态表名、排序字段（order by）、列名等无法使用预编译的场景
  • 需要开发者自行确保传入内容的安全性
  • 不会自动添加引号，需手动处理
例如：select * from ${tableName} → 实际执行：select * from user_table

使用建议

能用 #{} 的地方尽量不用 ${}。只有在必须动态拼接 SQL 结构（如表名、字段名）时才考虑使用 ${}，并且要对输入严格校验或使用白名单机制。

基本上就这些，关键是理解预编译和字符串拼接的区别。

以上就是mybatis 中 #{}和 ${}的区别是什么？的详细内容，更多请关注php中文网其它相关文章！

相关标签：
sql注入 区别 防止sql注入 red sql mybatis select 字符串 字符串类型 map 对象

大家都在看：

最佳 Windows 性能的顶级免费优化软件
最佳 Windows 性能的顶级免费优化软件

每个人都需要一台速度更快、更稳定的 PC。随着时间的推移，垃圾文件、旧注册表数据和不必要的后台进程会占用资源并降低性能。幸运的是，许多工具可以让 Windows 保持平稳运行。

下载
来源：php中文网
收藏 点赞
上一篇：mysql为什么要分区？ 下一篇：数据库的三范式是什么？
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系admin@php.cn
最新问题
java 中在 Queue 中 poll()和 remove()有什么区别？ poll()在队列为空时返回null，而remove()抛出NoSuchElementException；2.poll()适用于不确定队列是否为空的场景，避免异常处理；3.remove()适用于明确队列非空的情况，否则需配合异常处理或isEmpty()判断；4.多数情况下推荐使用poll()，更安全简洁。
2025-11-03 04:33:23
988
Java中深拷贝和浅拷贝区别是什么？ 深拷贝创建完全独立的对象，包括引用对象都新建；浅拷贝仅复制基本类型值，引用类型共用同一实例。
2025-11-02 08:09:26
817
String str="i"与 String str=new String(“i”)一样吗？ Stringstr="i";从常量池获取或创建对象，而Stringstr=newString("i");总在堆中新建对象；2.前者高效节省内存，后者可能重复创建浪费资源；3.前者相同值引用相等，后者不相等；4.推荐优先使用字面量方式创建字符串。
2025-11-02 04:37:24
807
请简述如何在Quarkus中实现非阻塞I/O？ Quarkus通过Vert.x和Mutiny实现非阻塞I/O，推荐使用Uni/Multi处理异步操作，结合响应式数据库客户端如HibernateReactive，确保REST端点返回响应式类型，全程保持异步链以实现高效非阻塞。
2025-11-02 01:21:20
128
jsp 和 servlet 有什么区别？ JSP和Servlet分工明确，Servlet处理请求与业务逻辑，JSP负责数据展示，二者协同实现MVC模式，是JavaWeb开发的基石。
2025-11-01 01:27:34
979
jpa 和 hibernate 有什么区别？ JPA是Java持久化API规范，Hibernate是其具体实现，提供额外功能；选择时可根据项目需求、团队熟悉度及是否需可移植性决定，SpringDataJPA简化了使用；Hibernate二级缓存提升性能但需谨慎管理；N+1查询问题可通过JoinFetch、EntityGraph或BatchFetch解决；JPA适合快速开发，MyBatis适合精细控制SQL，可混合使用兼顾效率与性能。
2025-11-01 01:09:32
596
在 java 程序中怎么保证多线程的运行安全？ 保证多线程安全需防止共享资源竞争，1.用synchronized确保方法或代码块互斥执行；2.使用ReentrantLock实现更灵活的显式加锁；3.volatile保证变量可见性但不保证原子性；4.优先采用ConcurrentHashMap、AtomicInteger等线程安全类；5.核心是根据场景选择合适机制并减少共享。
2025-11-01 00:41:09
536
说一下jvm 运行时数据区域？ JVM运行时数据区域分为程序计数器、Java虚拟机栈、本地方法栈、堆和方法区。程序计数器记录线程执行的字节码地址，是线程私有且唯一不抛出OutOfMemoryError的区域。Java虚拟机栈存储栈帧，用于方法调用，每个栈帧包含局部变量表、操作数栈等，线程私有，可能抛出StackOverflowError或OutOfMemoryError。本地方法栈类似Java虚拟机栈，为Native方法服务，部分虚拟机与其合并。堆是线程共享的最大内存区域，存放对象实例，分为新生代（Eden、FromSurvi
2025-10-31 09:39:02
514
Java中synchronized 和 ReentrantLock 区别是什么？ synchronized是关键字，使用简单但功能单一；ReentrantLock是类，需手动加锁释放，支持公平锁、可中断、超时获取等高级特性，灵活性更高。JDK优化后synchronized性能接近ReentrantLock，一般场景推荐synchronized，复杂需求选用ReentrantLock。
2025-10-31 09:32:02
889
说一下jvm 有哪些垃圾回收算法？ JVM垃圾回收算法主要有标记-清除、复制和标记-整理三种，分别适用于不同内存区域。标记-清除易产生碎片，复制算法以空间换时间，适合新生代，标记-整理则解决碎片问题，适合老年代。JVM结合多种算法，基于对象生命周期差异实现分代回收，提升性能。现代GC器如G1、ZGC、Shenandoah通过区域化管理、并发处理和读屏障等技术，在大堆场景下实现低延迟与高吞吐的平衡。选择合适的GC器需根据应用类型、堆大小、对象分配速率和硬件资源综合考量，并通过日志分析与调优持续优化。
2025-10-31 01:01:24
754
相关专题
更多>
热门推荐
开源免费商场系统广告
热门教程
更多>
相关推荐
热门推荐
最新课程
最新下载
更多>
网站特效
网站源码
网站素材
前端模板
关于我们 免责申明 意见反馈 讲师合作 广告合作 最新更新 English
php中文网：公益在线php培训，帮助PHP学习者快速成长！
关注服务号 技术交流群
PHP中文网订阅号
每天精选资源文章推送
PHP中文网APP
随时随地碎片化学习
PHP中文网抖音号
发现有趣的

Copyright 2014-2025 https://www.php.cn/ All Rights Reserved | php.cn | 湘ICP备2023035733号

  • PHP学习

  • 技术支持

  • 返回顶部