但如果我们对传入的姓名参数做一些更改，比如改成anything’ OR ‘x’='x，那么拼接而成的Sql就变成了
SELECT id,name,age FROM student WHERE name = 'anything' OR 'x'='x'
库里面所有的学生信息都被拉了出来，是不是很可怕。原因就是传入的anything’ OR ‘x’='x和原有的单引号，正好组成了 ‘anything’ OR ‘x’='x’，而OR后面恒等于1，所以等于对这个库执行了查所有的操作。
防范Sql注入的话，就是要把整个anything’ OR ‘x’='x中的单引号作为参数的一部分，而不是和Sql中的单引号进行拼接
使用了#即可在Mybatis中对参数进行转义
<select id="fetchStudentByName" parameterType="String" resultType="entity.StudentEntity"> SELECT id,name,age FROM student WHERE name = #{name} </select>
我们看一下发送到数据库端的Sql语句长什么样子。
SELECT id,name,age FROM student WHERE name = 'anything\' OR \'x\'=\'x'
到此这篇关于mysql中#{}和${}的区别的文章就介绍到这了,更多相关mysql中#{}和${}的区别内容请搜索
更多相关Mysql内容来自木庄网络博客
标签：Mysql
相关阅读 >>
更多相关阅读请进入《mysql》频道 >>
数据库系统概念 第6版
本书主要讲述了数据模型、基于对象的数据库和XML、数据存储和查询、事务管理、体系结构等方面的内容。
