Java中${}和#{}有哪些区别

在Java开发中，尤其是在使用MyBatis等ORM框架时，我们经常会遇到${}和#{}这两种占位符。它们在SQL语句中用于动态替换参数，但它们的处理方式和应用场景有很大的不同。本文将详细探讨${}和#{}的区别，帮助开发者更好地理解和使用它们。

1. 基本概念

1.1 ${}

${}是字符串替换占位符。在SQL语句中，${}会将传入的参数直接替换到SQL语句中，生成最终的SQL语句。这种方式类似于字符串拼接，直接将参数值插入到SQL语句中。

1.2 #{}

#{}是预编译占位符。在SQL语句中，#{}会将传入的参数作为预编译参数处理，生成带有占位符的SQL语句，然后在执行时通过JDBC的PreparedStatement将参数值传递给数据库。这种方式可以有效防止SQL注入攻击。

2. 主要区别

2.1 SQL注入风险

• ${}：由于${}是直接将参数值替换到SQL语句中，因此存在SQL注入的风险。如果传入的参数是用户输入的，且未经过严格的校验和过滤，攻击者可以通过构造恶意输入来执行非法的SQL操作。

• #{}：#{}通过预编译的方式处理参数，参数值不会直接拼接到SQL语句中，而是通过PreparedStatement传递，因此可以有效防止SQL注入攻击。

2.2 执行效率

• ${}：由于${}是直接替换SQL语句中的参数，生成的SQL语句是静态的，数据库可以直接执行。这种方式在某些情况下可能会比#{}更快，因为不需要预编译。

• #{}：#{}生成的SQL语句是带有占位符的，数据库需要先进行预编译，然后再执行。这种方式在首次执行时可能会比${}稍慢，但由于预编译的结果可以被缓存，后续执行时效率会有所提升。

2.3 参数类型处理

• ${}：${}直接将参数值替换到SQL语句中，因此参数的类型不会影响SQL语句的生成。如果参数是字符串类型，${}会直接将字符串值插入到SQL语句中，可能会导致SQL语法错误。

• #{}：#{}会根据参数的类型自动进行类型转换，确保生成的SQL语句是合法的。例如，如果参数是字符串类型，#{}会自动在参数值前后添加单引号，确保SQL语句的正确性。

2.4 应用场景

• ${}：${}适用于那些不需要预编译的场景，例如动态表名、动态列名等。由于这些场景下SQL语句的结构是动态变化的，无法通过预编译的方式处理，因此只能使用${}。

• #{}：#{}适用于大多数需要传递参数的场景，尤其是用户输入的参数。由于#{}可以有效防止SQL注入，因此在处理用户输入时，应优先使用#{}。

3. 示例分析

3.1 ${}示例

@Select("SELECT * FROM ${tableName} WHERE id = ${id}")
User selectUser(@Param("tableName") String tableName, @Param("id") int id);

在这个示例中，${tableName}和${id}会被直接替换为传入的参数值。假设传入的tableName为"users"，id为1，生成的SQL语句为：

SELECT * FROM users WHERE id = 1

这种方式虽然简单，但如果tableName或id是用户输入的，且未经过严格的校验和过滤，可能会导致SQL注入。

3.2 #{}示例

@Select("SELECT * FROM users WHERE id = #{id}")
User selectUser(@Param("id") int id);

在这个示例中，#{id}会被预编译为占位符?，生成的SQL语句为：

SELECT * FROM users WHERE id = ?

然后在执行时，JDBC会将id的值传递给PreparedStatement，确保SQL语句的安全性。

4. 使用建议

• 优先使用#{}：在大多数情况下，应优先使用#{}，尤其是在处理用户输入时。#{}可以有效防止SQL注入，确保应用程序的安全性。

• 谨慎使用${}：只有在确实需要动态生成SQL语句的场景下，才使用${}。例如，动态表名、动态列名等。在使用${}时，必须确保传入的参数是安全的，避免SQL注入的风险。

• 参数校验和过滤：无论使用${}还是#{}，都应对传入的参数进行严格的校验和过滤，确保参数值的合法性和安全性。

5. 总结

${}和#{}在Java开发中都是常用的占位符，但它们的处理方式和应用场景有很大的不同。${}是直接替换SQL语句中的参数，适用于动态生成SQL语句的场景，但存在SQL注入的风险。#{}是预编译占位符，适用于大多数需要传递参数的场景，可以有效防止SQL注入。在实际开发中，应根据具体需求选择合适的占位符，并确保参数的安全性。

通过本文的详细分析，相信读者对${}和#{}的区别有了更深入的理解，能够在实际开发中更好地应用它们。

亿速云「云服务器」，即开即用、新一代英特尔至强铂金CPU、三副本存储NVMe SSD云盘，价格低至29元/月。点击查看>>