MyBatis 中 #{ } 與 ${ } 差異深度解析

前言

在 MyBatis 映射文件中，#{ } 和 ${ } 是兩種常見的參數佔位符，但它們的行為截然不同。正確理解二者區別，對於防止 SQL 注入、動態構建查詢至關重要。

核心差異對比

具體示例

使用 #{ }

SELECT * FROM user WHERE id = #{userId}

若傳入 111，生成 SQL：SELECT * FROM user WHERE id = ?，參數綁定為 111。

使用 ${ }

ORDER BY ${columnName}

若傳入 create_time，生成 SQL：ORDER BY create_time，無參數綁定。

官方文檔說明

默認使用 #{ } 會生成 PreparedStatement 參數佔位符（?），安全、快捷且為首選。只有當需要動態指定表名、列名或排序字段時，才應謹慎使用 ${ }，並務必自行驗證輸入，防止 SQL 注入。

最佳實踐建議

1. 優先使用 #{ } 處理所有業務數據參數。
2. 僅在動態表名、列名、排序字段等無法使用預編譯的場景下使用 ${ }。
3. 使用 ${ } 時，必須在應用層對輸入進行嚴格白名單校驗。
4. 避免在 ${ } 中直接拼接用戶未經過濾的輸入。

總結

#{ } 是安全的參數綁定機制，${ } 是不安全的字符串模板替換。掌握二者邊界，是編寫健壯 MyBatis 映射的關鍵。