- 正确答案：在 MyBatis 中，#{} 和 ${} 的主要区别在于参数处理方式不同。#{} 是预编译处理，MyBatis 会将其替换为 ? 占位符，并通过 PreparedStatement 设置参数，防止 SQL 注入；而 ${} 是字符串直接替换，MyBatis 会在 SQL 构建阶段直接将变量值插入到 SQL 语句中，存在 SQL 注入风险。 - 解答思路：这个问题考察的是对 MyBatis 参数映射机制的理解。首先需要明确两种符号的语法形式和使用场景，然后从底层 SQL 执行原理出发，分析它们在 SQL 构造和执行过程中的差异，重点在于是否进行预编译以及安全性问题。可以通过对比两者生成的 SQL 语句和使用的 JDBC 接口来说明其本质区别。 - 深度知识讲解： 1. #{} 的实现原理： - 当使用 #{} 时，MyBatis 会创建 PreparedStatement 对象，将 SQL 中的 #{} 替换为 ? 占位符。 - 然后通过 setString、setInt 等方法将参数设置到 PreparedStatement 中，由数据库驱动完成类型安全的赋值。 - 这个过程发生在预编译阶段，SQL 结构已经确定，无法被恶意数据改变，因此可以有效防止 SQL 注入。 - 示例：select * from user where id = #{id} 如果 id = 5，则实际执行为：select * from user where id = ?，参数通过 setInt(1, 5) 设置。 2. ${} 的实现原理： - ${} 是纯文本替换，在 MyBatis 解析 Mapper XML 或注解时，直接将变量值拼接到 SQL 字符串中。 - 使用 Statement 而非 PreparedStatement 执行 SQL（除非手动封装），不经过预编译参数绑定流程。 - 因为是字符串拼接，如果用户输入恶意内容，可能导致 SQL 注入。 - 示例：select * from ${tableName} 如果 tableName = "user; drop table user;"，则最终 SQL 变为：select * from user; drop table user; 这会导致严重的安全问题。 3. 底层数据结构与流程： - MyBatis 在解析 SQL 语句时，会使用 SqlSource 来表示 SQL 源码。 - DynamicSqlSource 处理动态 SQL，StaticSqlSource 处理静态 SQL。 - 对于 #{}，MyBatis 会构建 ParameterMapping 对象记录参数名称、类型等信息，用于后续参数设置。 - 对于 ${}，只是简单的 String.format 或文本替换操作，不会创建 ParameterMapping。 4. 使用场景建议： - 优先使用 #{}：适用于绝大多数参数传递场景，如 WHERE 条件、INSERT 值、UPDATE 赋值等。 - 使用 ${} 的合理场景： - 动态表名或列名（如分表场景） - ORDER BY 后的字段名（因为不能用 ? 占位） - 数据库函数或关键字动态选择 - 注意必须对外部输入做严格校验或白名单控制 5. 安全性对比： - #{}：安全，具备类型检查和转义能力 - ${}：危险，完全依赖开发者自行保证输入合法性 6. 性能影响： - #{} 支持 PreparedStatement 缓存，可重用执行计划，提升性能 - ${} 每次拼接出不同的 SQL 字符串，可能导致数据库硬解析，降低性能 - 代码示例：不安全的 ${} 用法： String tableName = request.getParameter("table"); List users = sqlSession.selectList("selectFromTable", tableName); 安全的 #{} 用法：推荐的 ${} 安全用法（配合白名单）：总结：#{} 是参数化查询，安全高效；${} 是字符串替换，灵活但危险。应尽量使用 #{}，仅在必要时使用 ${} 并做好输入验证。这是 MyBatis 开发中最基础也是最重要的安全实践之一。

黑湖科技日常实习面经，java

全站热榜

创作者周榜