标签：count 传入 含义 value user sql Mybatis 什么 select

先来看一下#{},在mybatis中：
<mapper namespace="cn.xh.dao">
<select id="getCount" parameterType="String" resultType="int">
select count() from user where age = #{value}
</select>
</mapper>
#{value}会被传入的内容替换，替换的时候将传入的内容当成字符串，加上引号：例如传入的内容为23，sql语句会变为select count() from user where age= ‘23’
这里是运行日志：

从日志可以看出实际上是相当于执行了这段代码：
String sql = "select count(*) from user where age = ?";
preparedStatement = connection.prepareStatement(sql);
preparedStatement.setString(1, “23”);
通过调用preparedStatement的setString方法传入参数可以防止sql注入，安全性更高。如果只传入一个参数该参数的名字可以随意取。

再来看一下${}:

<mapper namespace="cn.xh.dao">
<select id="getCount" parameterType="String" resultType="int">
select count() from ${value}
</select>
</mapper>
${value}会被传入的内容替换，注意此处是直接替换，不会加上引号。例如传入的内容为 user 则sql语句变为:select count() from user
看运行日志：

从运行日志可以看出这里是直接拼接字符串。
总结一下#{}和${}之间的区别：
#{}：传入的内容会被作为字符串，被加上引号，以预编译的方式传入，安全性高，可以防止sql注入。
${}:传入的内容会直接拼接，不会加上引号，可能存在sql注入的安全隐患。
所以能用#{}的地方就用#{},但是诸如传入表名，需要排序的时候order by 字段 的 “字段名”的时候可以用${}.

标签：count,传入,含义,value,user,sql,Mybatis,什么,select
来源： https://blog.51cto.com/11583017/2468411

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。