1. mybatis中$和&区别是什么
在mybatis中#和KaTeX parse error: Expected 'EOF', got '#' at position 8: 的主要区别是：#̲传入的参数在sql中显示为字符，传入的参数在SqL中直接显示为传入的值，$方式无法防止Sql注入。
MyBatis 是一款优秀的持久层框架，它支持定制化 SQL、存储过程以及高级映射。MyBatis 避免了几乎所有的 JDBC 代码和手动设置参数以及获取结果集。
MyBatis 可以使用简单的 XML 或注解来配置和映射原生信息，将接口和 Java 的 POJOs(Plain Ordinary Java Object,普通的 Java对象)映射成数据库中的记录。
动态 sql 是 mybatis 的主要特性之一，在 mapper 中定义的参数传到 xml 中之后，在查询之前 mybatis 会对其进行动态解析。mybatis 为我们提供了两种支持动态 sql 的语法：#{} 以及 ${}；两者都是动态的向sql语句中传入需要的参数。
2. 为什么 Mybatis sql 表名用参数传递进来的时候，只能使用 ${} ，不能用#{}
因为使用#{},mybatis使用connection.prepareStatement("select * from ?"),把表名作为参数提交给数据库，而数据库不支持这种方式。
而使用${},mybatis是字符串拼接，也就是connection.prepareStatement("select * from tabName"),这是正常写法。
所以本质上是数据库不支持。
我把这个问题记录到我的小站匠艺软件
3. mybatis sql转义符号怎么写
1、在xml的sql语句中，不能直接用大于号、小于号要用转义字符
如果用小于号会报错误如下：
org.apache.ibatis.builder.BuilderException: Error creating document instance. Cause: org.xml.sax.SAXParseException: The content of elements must consist of well-formed character data or markup.
转义字符
2、使用
<![CDATA[ ]]>标记的sql语句中的<where><if>等标签不会被解析
4. mybatis sql 参数为字符串怎么写
用#{你的参数}就可以了。
select userid from user where name = #{name}
5. mybatis中的sql语句中#和$的区别
1. #将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：order by #user_id#，如果传入的值是111,那么解析成sql时的值为order by "111", 如果传入的值是id，则解析成的sql为order by "id".
2. $将传入的数据直接显示生成在sql中。如：order by $user_id$，如果传入的值是111,那么解析成sql时的值为order by user_id, 如果传入的值是id，则解析成的sql为order by id.
3. #方式能够很大程度防止sql注入。
4.$方式无法防止Sql注入。
5.$方式一般用于传入数据库对象，例如传入表名.
6.一般能用#的就别用$.
MyBatis排序时使用order by 动态参数时需要注意，用$而不是#
字符串替换
默认情况下，使用#{}格式的语法会导致MyBatis创建预处理语句属性并以它为背景设置安全的值（比如?）。这样做很安全，很迅速也是首选做法，有时你只是想直接在SQL语句中插入一个不改变的字符串。比如，像ORDER BY，你可以这样来使用：
ORDER BY ${columnName}
这里MyBatis不会修改或转义字符串。
重要：接受从用户输出的内容并提供给语句中不变的字符串，这样做是不安全的。这会导致潜在的SQL注入攻击，因此你不应该允许用户输入这些字段，或者通常自行转义并检查。
6. mybatis sql转义符号怎么写
1、在xml的sql语句中，不能直接用大于号、小于号要用转义字符
如果用小于号会报错误如下：
org.apache.ibatis.builder.BuilderException:
Error
creating
document
instance.
Cause:
org.xml.sax.SAXParseException:
The
content
of
elements
must
consist
of
well-formed
character
data
or
markup.
转义字符
2、使用
<![CDATA[
]]>标记的sql语句中的<where><if>等标签不会被解析
7. mybatis sql 参数为字符串怎么写
用#{你的参数}就可以了。
select
userid
from
user
where
name
=
#{name}
8. mybatis怎么把一串sql当作字符串返回
<select id="DAO接口方法名称" parameterType="参数类型" resultType="返回结果类型">
select * from 表 where 。。。
</select>
resultType 可以是任意Object对象，如果多条数据，这这个方法返回的是List<Object?>，
如果确认是单条数据，可以直接 Object? ***(**); 。
没有封装成对象时，默认返回的是List<Map<字段名称String，列值Object>>这样的数据。
Dao接口：
List<Map<String,Object>> list(Integer id);
SQL:
<select id="list" parameterType="Integer" resultType="Map">
select * from aaa
<where>
<if test="null!=id">
id >#{id}
</if>
</where>
</select>
以上示例中表示查询id>某个数值的所有结果，返回类型为MAP
执行脚本后没有返回结果的吧，看ScriptRunner源码，没有提供任何返回结果的。
private void executeStatement(String command) throws SQLException, UnsupportedEncodingException {
boolean hasResults = false;
Statement statement = connection.createStatement();
statement.setEscapeProcessing(escapeProcessing);
String sql = command;
if (removeCRs)
sql = sql.replaceAll("\r\n", "\n");
if (stopOnError) {
hasResults = statement.execute(sql);
} else {
try {
hasResults = statement.execute(sql);
} catch (SQLException e) {
String message = "Error executing: " + command + ". Cause: " + e;
printlnError(message);
}
}
printResults(statement, hasResults);
try {
statement.close();
} catch (Exception e) {
// Ignore to workaround a bug in some connection pools
}
}
...
有结果时，最后调用了这个方法打印出来而已。
private void print(Object o) {
if (logWriter != null) {
logWriter.print(o);
logWriter.flush();
}
}
你可以调用
public void setLogWriter(PrintWriter logWriter) {
this.logWriter = logWriter;
}
传入你自己的Writer。
9. mybatis 怎么解决 sql注入
通过对参数进行转义：
比如如下的sql prdtNo这个参数如果包含可能会引起sql注入的字符时，mybatis会对其进行转义
<selectid="queryCustomerDetail"resultMap="customerInfoMap">
select
<includerefid="Base_LinkColimn_list"/>
fromFSP_CUSTOMER_INFOiinnerjoinFSP_CUST_RELATIONr
oni.id=r.cust_idwherei.CIF_NO=#{cifNo,jdbcType=VARCHAR}
andr.PRODUCT_NO=#{prdtNo,jdbcType=VARCHAR}
</select>
10. mybatis中的sql语句中的#占位符和$占位符有什么区别
#{}，和 ${}传参的区别如下：
使用#传入参数是，sql语句解析是会加上"",当成字符串来解析，这样相比于$的好处是比较明显对的吧，#{}传参能防止sql注入，如果你传入的参数为 单引号'，那么如果使用${},这种方式 那么是会报错的
另外一种场景是，如果要做动态的排序，比如 order by column，这个时候务必要用${}
select * from table order by 'name' ,这样是没用
目前来看，能用#就不要用$,