iBATIS的绑定变量实现方式--转载

最新推荐文章于 2023-12-20 16:31:50 发布

转载最新推荐文章于 2023-12-20 16:31:50 发布 · 1.8k 阅读

标签

#ibatis #sql #user

ORM 专栏收录该内容

4 篇文章

订阅专栏

本文介绍了iBATIS中两种变量绑定方式：#value#和$value$。#value#方式安全且能有效防止SQL注入，而$value$方式虽灵活但存在安全隐患。推荐使用动态SQL构建方式提高效率和安全性。

开发板推荐：天空星STM32F407VET6开发板

超高性价比 STM32主控 | 超高主频 | 一板兼容百芯 | 比赛神器 | 沉金彩色丝印

点击查看

iBATIS的绑定变量有两种方式，#value#方式和$value$方式

1.#value#方式：
例如语句SELECT * FROM emp WHERE emp_no = #value#
实际执行时，iBATIS会使用prepareStatement方式，执行语句SELECT * FROM emp WHERE emp_no = ?,并将对应的参数值设置为value。这种方式下操作符是写在SQL Map中的，可以避免SQL注入的风险，非常安全。
2.$value$方式：
例如语句SELECT * FROM emp WHERE $value$
这种方式常用于构建动态SQL语句，如在本例中，假设value值为emp_no in (1,2,3)，则实际执行时，iBATIS会执行语句SELECT * FROM emp WHERE emp_no in (1,2,3)。这种方式下操作符是传入的，存在SQL注入的风险，不安全。
实际使用中，对于根据条件查询的方式，推荐在sqlMapConfig中使用动态语句的方式实现，如下所示：
<select id="searchUser" resultClass="user" parameterClass="map">
    select id,userName,score,regDate,loginTime
    from demo_user where 1=1
    <dynamic>
     <isNotNull property="username" prepend="and">
      userName like #username#
     </isNotNull>
     <isNotNull property="fromid" prepend="and">
      id <![CDATA[>=]]> #fromid#
     </isNotNull>
     <isNotNull property="toid" prepend="and">
      id <![CDATA[<=]]> #toid#
     </isNotNull>
    </dynamic>
</select>
相对$value$方式而言，这种方式比较麻烦，但是从效率和安全的角度考虑是合适的。