java后端开发中MyBatis的#{}和${}有什么区别？-java教程-PHP中文网

java后端开发中MyBatis的#{}和${}有什么区别？

幻夢星雲

发布： 2025-10-30 11:57:01

原创

699人浏览过

{}为预编译占位符，安全且防SQL注入，优先使用；${}为字符串替换，存在注入风险，仅用于动态表名等无法预编译场景。

java后端开发中mybatis的#{}和${}有什么区别？

在Java后端开发中使用MyBatis时，#{} 和 ${} 都用于在SQL语句中插入动态参数，但它们的处理方式和安全性有本质区别。

MyBatis 会将 #{} 解析为预编译的 PreparedStatement 参数占位符（即 ?），然后通过 set 方法设置实际值。这种方式能有效防止 SQL 注入。

特点：

示例：

<select id="getUser" resultType="User">
  SELECT * FROM user WHERE name = #{userName}
</select>

登录后复制

如果传入 userName = "zhangsan"，最终执行的 SQL 是：

SELECT * FROM user WHERE name = ?

登录后复制

参数通过 setString(1, "zhangsan") 设置，不会拼接进 SQL 字符串。

MyBatis 会把 ${} 中的内容直接替换成原始字符串，不做任何转义或预处理。相当于字符串拼接，容易导致 SQL 注入。

魔乐社区

天翼云和华为联合打造的AI开发者社区，支持AI模型评测训练、全流程开发应用

102

适用场景：

示例：

<select id="getUserByTable" resultType="User">
  SELECT * FROM ${tableName} WHERE id = #{id}
</select>

登录后复制

如果 tableName = "user"，id = 1，则生成：

SELECT * FROM user WHERE id = ?

登录后复制

注意：表名部分是直接替换的，没有引号包裹，也不能被预编译保护。

基本上就这些。日常开发中，能用 #{} 就不用 ${}，除非确实需要动态 SQL 结构。不复杂但容易忽略的是：很多人误以为 ${} 只是“不加引号”，其实它完全跳过了预编译机制，这才是危险根源。

以上就是java 后端开发中MyBatis的#{}和${}有什么区别？的详细内容，更多请关注php中文网其它相关文章！

大家都在看：