- 正确答案：在 MyBatis 中，#{} 和 ${} 是两种不同的参数占位符语法，主要区别在于 SQL 预编译处理方式和安全性。#{} 会被解析为预编译的 PreparedStatement 参数占位符（?），具有防止 SQL 注入的优点；而 ${} 会直接进行字符串替换，不经过预编译，存在 SQL 注入风险，但适用于动态表名、排序字段等无法使用预编译的场景。 - 解答思路：理解 #{} 和 ${} 的核心差异需要从 JDBC 的 PreparedStatement 和 Statement 执行机制入手。MyBatis 底层依赖 JDBC 操作数据库，因此其参数处理方式直接影响 SQL 安全性和灵活性。面试中应先说明两者的基本行为，再结合使用场景和安全问题展开分析，最后可补充实际开发中的最佳实践。 - 深度知识讲解： 1. #{} 的底层实现原理：当使用 #{} 时，MyBatis 会将该参数位置替换为 ? 占位符，并通过 PreparedStatement 的 setString、setInt 等方法设置参数值。这个过程由 TypeHandler 完成 Java 类型到 JDBC 类型的映射。示例：SQL 语句 "SELECT * FROM user WHERE id = #{id}" 被解析为 "SELECT * FROM user WHERE id = ?"，然后调用 preparedStatement.setInt(1, value) 设置参数。这种方式能有效防止 SQL 注入，因为参数值不会参与 SQL 文本的拼接，而是作为独立的数据传输。 2. ${} 的底层实现原理： ${} 是纯字符串替换，在 MyBatis 解析 Mapper XML 或注解中的 SQL 语句时，直接将 ${parameterName} 替换为参数的实际值（调用 toString()）。示例：如果 SQL 是 "SELECT * FROM ${tableName}"，且传入 tableName = "user"，则最终 SQL 变为 "SELECT * FROM user"。由于是字符串拼接，若参数来自用户输入，则可能被恶意构造，如传入 tableName = "users; DROP TABLE users;" 可能导致严重后果。 3. 数据结构与解析流程： MyBatis 在启动时会解析 SQL 映射文件，构建 MappedStatement 对象。其中 SQL 语句经过 SqlSource 处理，DynamicSqlSource 用于处理包含 ${} 的动态 SQL，而 RawSqlSource 用于静态 SQL（已解析完成的 SQL）。#{} 在解析阶段生成 ParameterMapping 列表，记录每个参数的位置和类型信息。 4. 类型处理器 TypeHandler： #{} 的参数赋值依赖 TypeHandler 接口实现。MyBatis 内置了常见类型的处理器（如 IntegerTypeHandler、StringTypeHandler），也支持自定义。TypeHandler 负责将 Java 对象转换为 JDBC 可识别的类型并设置到 PreparedStatement 中。 5. 特殊用法对比： - #{} 支持自动类型推断和转义，例如传入字符串会自动加引号。 - ${} 不做任何转义，需手动确保合法性。常用于以下场景： - 动态表名或视图名 - ORDER BY 后的列名（如 ORDER BY ${columnName}） - GROUP BY 字段 - 数据库分片场景下的动态库/表名 6. 性能影响：使用 #{} 的 SQL 更容易被数据库缓存执行计划（PreparedStatement 缓存），提升性能；而 ${} 导致每次不同参数生成不同的 SQL 文本，难以利用执行计划缓存。 7. 最佳实践建议： - 优先使用 #{}，仅在必须动态拼接 SQL 片段时使用 ${} - 若必须使用 ${}，应对输入进行严格校验（白名单验证、正则匹配等） - 可结合 OGNL 表达式进行条件判断，避免不必要的 ${} - 代码示例：假设有如下 Mapper 接口方法： public interface UserMapper { List findByUserId(@Param("id") int id); List findByTableName(@Param("tableName") String tableName); } 对应的 XML 映射：调用时： List users1 = mapper.findByUserId(1); // 安全，生成预编译 SQL List users2 = mapper.findByTableName("student"); // 危险！需确保 tableName 合法若 tableName 来自不可信来源，应增加校验逻辑： if (!Arrays.asList("student", "teacher").contains(tableName)) { throw new IllegalArgumentException("Invalid table name"); } - 扩展知识点： 1. MyBatis 动态 SQL 中的、、等标签内部仍推荐使用 #{}。 2. 在标签中 collection 属性可用 ${} 引用变量名，但 item 元素值仍建议用 #{}。 3. 结合 Spring Boot 使用时，可通过 @MapperScan 配合 @Param 注解明确参数命名。 4. 高级技巧：使用 bind 标签创建新变量，减少 ${} 使用频率。 name LIKE #{likeName} 总结：#{} 是安全的参数化查询方式，基于 PreparedStatement 实现，应作为首选；${} 是原始字符串替换，用于动态 SQL 结构，但需防范注入风险。理解二者背后的 JDBC 原理和 MyBatis 解析机制，有助于写出更安全高效的持久层代码。

中软国际（实习一面）

全站热榜

创作者周榜