mybatis防止sql注入

 

在用mybatis时，用##就可以避免sql注入了，因为它采用了预编译。

 

但是如果用$$就不能避免。

 

因为##会往传入的参数上加个引号，而$$不会。

举例如下：

 

select * from user where user_name=#user_name#;

select * from user where user_name=$user_name$;

 

假设user_id传入1 or 1=1,那么上述2个SQL解析结果如下：

select * from user where user_name=" 1 or 1=1 ";

select * from user where user_name=1 or 1=1;

 

分别返回的结果是：

0；

所有；

 

说白了，##里面的值作为一个整体的字符串，而$$里面却和前面的SQL连在一起编译了。

 

 

参考链接