ToB企服应用市场:ToB评测及商务社交产业平台

标题: Mybatis 不要乱用，这个坑真不小！ [打印本页]
作者: 怀念夏天    时间: 2023-10-18 02:51
标题: Mybatis 不要乱用，这个坑真不小！
来源：www.cnblogs.com/tjstep/p/15256463.html
mybatis作为一个轻量级的ORM框架，应用广泛，其上手使用也比较简单；一个成熟的框架，必然有精巧的设计，值得学习。
在使用mybatis框架时，在sql语句中获取传入的参数有如下两种方式：
那如何理解这两种传参方式呢？如下带你走近背后的奥义。
推荐一个开源免费的 Spring Boot 实战项目：
https://github.com/javastacks/spring-boot-best-practice
先来回顾下原生Jdbc查询：
  1. public static void main(String[] args) throws Exception {
  3.   // sql语句
  4.   String sql = "select id,name from customer limit 2";
  5.   // 1.加载驱动, 此处使用的mysql驱动包是8.0版本, 若为5.0+版本, 请修改以下类路径
  6.   Class.forName("com.mysql.cj.jdbc.Driver");
  7.   // 2.获取数据库连接
  8.   String url = "jdbc:mysql://localhost:3306/work?useSSL=false&useUnicode=true" +
  9.     "&characterEncoding=UTF-8&useJDBCCompliantTimezoneShift=true" +
  10.     "&useLegacyDatetimeCode=false&serverTimezone=UTC";
  11.   Connection conn = DriverManager.getConnection(url,"root", "123456");
  12.   // 3、获得可以执行sql语句的对象
  13.   Statement st = conn.createStatement();
  14.   // 4、使用对象去执行SQL语句
  15.   ResultSet rs = st.executeQuery(sql);
  16.   // 5、处理sql语句返回的结果集
  17.   while(rs.next()){
  18.     // 获得一行数据
  19.     Integer id = rs.getInt("id");
  20.     String name = rs.getString("name");
  21.     System.out.println("sql查询: id = " + id + " , name = " + name);
  22.   }
  23.   // 6、释放资源
  24.   rs.close();
  25.   st.close();
  26.   conn.close();
  27. }
复制代码
控制台打印：
  1. sql查询: id = 1 , name = 李白
  2. sql查询: id = 2 , name = 杜甫
复制代码
了解Jdbc的人会知道，其中第3、4步两条语句也可以换成如下两条：
  1. // 3.创建 PreparedStatement 对象去执行sql
  2. PreparedStatement preparedStatement = conn.prepareStatement(sql);
  3. // 4.执行sql语句
  4. ResultSet rs = preparedStatement.executeQuery();
复制代码
我们来比较下区别：
这就引出了预编译的概念：
看到这里，可能也仅仅只记住了一个预先编译sql了，一个没有预先编译，并没有了解到对于实际开发中的区别，以下将会举例说明。
那是否PreparedStatement对象这种方式就一定比Statement对象方式好？
没有那么绝对的事，大家要理解：
PreparedStatement对象的好处是，sql已经提前编译好，剩下的工作就是传入参数即可，编译好的sql可以复用，传入不同的参数，则数据库就将相应的参数填入编译好的sql。而Statement对象就是每次都要传入sql，丢给数据库去编译再执行；但是创建PreparedStatement对象的开销是比Statement对象大的。
回归到日常开发中，以上的区别我们压根也不用在意，事实上，百分之九十的场景我们使用的是PreparedStatement对象的方式，可能平时没有感知到，因为这是框架已经封装了。再者，当系统出现性能问题时，也绝对不会是因为这两个对象的原因。
以上简单回顾了下Jdbc中PreparedStatement与Statement对象；
可以预料，mybatis中${} 与 #{} 这两种取值方式就是相当于对应着PreparedStatement和Statement对象的区别了。
那具体在使用中有什么不同呢？理解如下两种场景：
1.看如下service和sql语句
  1. @Override
  2. public List<Map<String, Object>> listUser() {
  3.   String param = " and name = '李白'";
  4.   return indexMapper.listUser(param);
  5. }
  6. <select id="listUser" resultType="map">
  7.   select * from customer
  8.   where 1 = 1 #{param}
  9. </select>
复制代码
以上代码能正常查询吗？
  1. ### Error querying database.  Cause: java.sql.SQLSyntaxErrorException: You have
  2.   an error in your SQL syntax; check the manual that corresponds to your MySQL
  3.     server version for the right syntax to use near '' and name = \'李白\''
复制代码
不能！会报sql语句规则错误，之前说了，#{} 取值代表sql已经编译好了，你传入的仅仅是参数
对应上面示例：
sql是指：select * from customer where 1 = 1
参数是指：and name = '李白'
此时sql可以正确运行，但是带上传入的参数就不行了，要理解你传入的真的仅仅是参数，不要和前面的sql混了。
但是这明显不对，因为想表达的其实是这样：
sql是指：
  1. select * from customer where 1 = 1 and name = ?
复制代码
参数是指：'李白'
此时把参数替换进占位符是可以正常运行整个语句的。
所以此时应该用 ，因为用{}就没有提前编译好哪些是属于sql。
此示例表明：当你传入的参数不仅仅是参数，其实是一小段sql，想和原sql拼接在一起时，那就得用${}传参，相当于拼接好了之后丢给
数据库去解析整个语句；
sql中的问号代表参数占位符，这也是PreparedStatement对象特点之一，会将你传入的参数一一替换进占位符
反之如下：
  1. @Override
  2. public List<Map<String, Object>> listUser() {
  3.   String param = "李白";
  4.   return indexMapper.listUser(param);
  5. }
  6. <select id="listUser" resultType="map">
  7.   select * from customer
  8.   where 1 = 1 and name = #{param}
  9. </select>
复制代码
这种情况使用 #{} 就是对的了，因为传入的参数仅仅就是参数，替换进sql语句中即可。
2.对参数类型的影响
  1. @Override
  2. public List<Map<String, Object>> listUser() {
  3.   String param = "李白";
  4.   return indexMapper.listUser(param);
  5. }
  6. <select id="listUser" resultType="map">
  7.   select * from customer
  8.   where 1 = 1 and name = ${param}
  9. </select>
复制代码
以上代码能执行成功吗？
按理说，传入的仅仅是参数，不管是否预编译都应该能执行，但是实际还是会报错。
这是执行时打印出的sql语句：
  1. select * from customer where 1 = 1 and name = 李白
复制代码
显然，问题就在于参数没有加单引号，name字段是字符串类型，传入的也是字符串，偏偏mybatis转换之后没有加单引号。
所以当传入字符串类型参数时，应该用 #{} 取值，此时会自动加上单引号。
再看下面这种语句：
  1. @Override
  2. public List<Map<String, Object>> listUser() {
  3.   String param = "name";
  4.   return indexMapper.listUser(param);
  5. }
  6. <select id="listUser" resultType="map">
  7.   select * from customer
  8.   where 1 = 1
  9.   order by ${param} desc
  10. </select>
复制代码
此时传入的参数是要排序的字段名称，之前说了，如果采用#{} 取值，则实际是会自动加上单引号的，但是order by后面的排序字段需要单引号吗？
不需要，所以这种情况只能使用 ${} 取值。
你可能会发现此处用 #{} 取值也不会报错，那是因为mysql支持这种写法，但是查询的结果并不对。
日常开发中，只要能理解上述两种情形，那么就能正确使用 ${} 和 #{}，由于这两种方式取值原理的区别，也容易明白 #{} 这种方式是可以防止sql注入的。
近期热文推荐：
1.1,000+ 道 Java面试题及答案整理(2022最新版)
2.劲爆！Java 协程要来了。。。
3.Spring Boot 2.x 教程，太全了！
4.别再写满屏的爆爆爆炸类了，试试装饰器模式，这才是优雅的方式！！
5.《Java开发手册（嵩山版）》最新发布，速速下载！
觉得不错，别忘了随手点赞+转发哦！

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！



欢迎光临 ToB企服应用市场:ToB评测及商务社交产业平台 (https://dis.qidao123.com/) Powered by Discuz! X3.4