1. mybatis中$和&區別是什麼
在mybatis中#和KaTeX parse error: Expected 'EOF', got '#' at position 8: 的主要區別是：#̲傳入的參數在sql中顯示為字元，傳入的參數在SqL中直接顯示為傳入的值，$方式無法防止Sql注入。
MyBatis 是一款優秀的持久層框架，它支持定製化 SQL、存儲過程以及高級映射。MyBatis 避免了幾乎所有的 JDBC 代碼和手動設置參數以及獲取結果集。
MyBatis 可以使用簡單的 XML 或註解來配置和映射原生信息，將介面和 Java 的 POJOs(Plain Ordinary Java Object,普通的 Java對象)映射成資料庫中的記錄。
動態 sql 是 mybatis 的主要特性之一，在 mapper 中定義的參數傳到 xml 中之後，在查詢之前 mybatis 會對其進行動態解析。mybatis 為我們提供了兩種支持動態 sql 的語法：#{} 以及 ${}；兩者都是動態的向sql語句中傳入需要的參數。
2. 為什麼 Mybatis sql 表名用參數傳遞進來的時候，只能使用 ${} ，不能用#{}
因為使用#{},mybatis使用connection.prepareStatement("select * from ?"),把表名作為參數提交給資料庫，而資料庫不支持這種方式。
而使用${},mybatis是字元串拼接，也就是connection.prepareStatement("select * from tabName"),這是正常寫法。
所以本質上是資料庫不支持。
我把這個問題記錄到我的小站匠藝軟體
3. mybatis sql轉義符號怎麼寫
1、在xml的sql語句中，不能直接用大於號、小於號要用轉義字元
如果用小於號會報錯誤如下：
org.apache.ibatis.builder.BuilderException: Error creating document instance. Cause: org.xml.sax.SAXParseException: The content of elements must consist of well-formed character data or markup.
轉義字元
2、使用
<![CDATA[ ]]>標記的sql語句中的<where><if>等標簽不會被解析
4. mybatis sql 參數為字元串怎麼寫
用#{你的參數}就可以了。
select userid from user where name = #{name}
5. mybatis中的sql語句中#和$的區別
1. #將傳入的數據都當成一個字元串，會對自動傳入的數據加一個雙引號。如：order by #user_id#，如果傳入的值是111,那麼解析成sql時的值為order by "111", 如果傳入的值是id，則解析成的sql為order by "id".
2. $將傳入的數據直接顯示生成在sql中。如：order by $user_id$，如果傳入的值是111,那麼解析成sql時的值為order by user_id, 如果傳入的值是id，則解析成的sql為order by id.
3. #方式能夠很大程度防止sql注入。
4.$方式無法防止Sql注入。
5.$方式一般用於傳入資料庫對象，例如傳入表名.
6.一般能用#的就別用$.
MyBatis排序時使用order by 動態參數時需要注意，用$而不是#
字元串替換
默認情況下，使用#{}格式的語法會導致MyBatis創建預處理語句屬性並以它為背景設置安全的值（比如?）。這樣做很安全，很迅速也是首選做法，有時你只是想直接在SQL語句中插入一個不改變的字元串。比如，像ORDER BY，你可以這樣來使用：
ORDER BY ${columnName}
這里MyBatis不會修改或轉義字元串。
重要：接受從用戶輸出的內容並提供給語句中不變的字元串，這樣做是不安全的。這會導致潛在的SQL注入攻擊，因此你不應該允許用戶輸入這些欄位，或者通常自行轉義並檢查。
6. mybatis sql轉義符號怎麼寫
1、在xml的sql語句中，不能直接用大於號、小於號要用轉義字元
如果用小於號會報錯誤如下：
org.apache.ibatis.builder.BuilderException:
Error
creating
document
instance.
Cause:
org.xml.sax.SAXParseException:
The
content
of
elements
must
consist
of
well-formed
character
data
or
markup.
轉義字元
2、使用
<![CDATA[
]]>標記的sql語句中的<where><if>等標簽不會被解析
7. mybatis sql 參數為字元串怎麼寫
用#{你的參數}就可以了。
select
userid
from
user
where
name
=
#{name}
8. mybatis怎麼把一串sql當作字元串返回
<select id="DAO介面方法名稱" parameterType="參數類型" resultType="返回結果類型">
select * from 表 where 。。。
</select>
resultType 可以是任意Object對象，如果多條數據，這這個方法返回的是List<Object?>，
如果確認是單條數據，可以直接 Object? ***(**); 。
沒有封裝成對象時，默認返回的是List<Map<欄位名稱String，列值Object>>這樣的數據。
Dao介面：
List<Map<String,Object>> list(Integer id);
SQL:
<select id="list" parameterType="Integer" resultType="Map">
select * from aaa
<where>
<if test="null!=id">
id >#{id}
</if>
</where>
</select>
以上示例中表示查詢id>某個數值的所有結果，返回類型為MAP
執行腳本後沒有返回結果的吧，看ScriptRunner源碼，沒有提供任何返回結果的。
private void executeStatement(String command) throws SQLException, UnsupportedEncodingException {
boolean hasResults = false;
Statement statement = connection.createStatement();
statement.setEscapeProcessing(escapeProcessing);
String sql = command;
if (removeCRs)
sql = sql.replaceAll("\r\n", "\n");
if (stopOnError) {
hasResults = statement.execute(sql);
} else {
try {
hasResults = statement.execute(sql);
} catch (SQLException e) {
String message = "Error executing: " + command + ". Cause: " + e;
printlnError(message);
}
}
printResults(statement, hasResults);
try {
statement.close();
} catch (Exception e) {
// Ignore to workaround a bug in some connection pools
}
}
...
有結果時，最後調用了這個方法列印出來而已。
private void print(Object o) {
if (logWriter != null) {
logWriter.print(o);
logWriter.flush();
}
}
你可以調用
public void setLogWriter(PrintWriter logWriter) {
this.logWriter = logWriter;
}
傳入你自己的Writer。
9. mybatis 怎麼解決 sql注入
通過對參數進行轉義：
比如如下的sql prdtNo這個參數如果包含可能會引起sql注入的字元時，mybatis會對其進行轉義
<selectid="queryCustomerDetail"resultMap="customerInfoMap">
select
<includerefid="Base_LinkColimn_list"/>
fromFSP_CUSTOMER_INFOiinnerjoinFSP_CUST_RELATIONr
oni.id=r.cust_idwherei.CIF_NO=#{cifNo,jdbcType=VARCHAR}
andr.PRODUCT_NO=#{prdtNo,jdbcType=VARCHAR}
</select>
10. mybatis中的sql語句中的#佔位符和$佔位符有什麼區別
#{}，和 ${}傳參的區別如下：
使用#傳入參數是，sql語句解析是會加上"",當成字元串來解析，這樣相比於$的好處是比較明顯對的吧，#{}傳參能防止sql注入，如果你傳入的參數為 單引號'，那麼如果使用${},這種方式 那麼是會報錯的
另外一種場景是，如果要做動態的排序，比如 order by column，這個時候務必要用${}
select * from table order by 'name' ,這樣是沒用
目前來看，能用#就不要用$,