MyBatis的使用三(在sql语句中传值)

技术分享 3年前 (2023-02-03) 0 999+

关注

本文主要介绍在mybatis中如何在sql语句中传递参数

一. #{ } 和 ${ }

　　1. #{ } 和 ${ }的区别

　　#{ }是预编译处理 ==> PreparedStatement

　　${ }是字符串替换 ==> Statement

　　mybatis在处理 #{ } 时，会将sql中的 # { } 替换为?号，调用PreparedStatement的set()方法来赋值；

　　mybatis在处理 ${ } 时，会将 ${ } 替换成变量的值。

　　因此 #{ }可以防止sql注入，而 ${ }不可以防止sql注入。

　　注意：在使用 ${ }时，需要在 ${ } 打上 ' '，即 ' ${ } '。

　　2. #{ } 和 ${ } 的使用

　　2.1 当查询条件只有一个时

　　首先看看UserMapper接口的定义：

public interface UserMapper {     // 按照姓名查询数据     User getUserByName(String username); }

　　1）在UserMapper.xml文件中，使用 #{ } 传递参数

<mapper namespace="com.hspedu.mapper.UserMapper">     <!--User getUserByName()-->     <select id="getUserByName" resultType="User">         <!--select * from t_user where username = #{username}-->         select * from t_user where username = #{param2}     </select> </mapper>

　　测试test

    // 按姓名查询数据     @Test     public void selectUserByName(){         SqlSession sqlSession = SqlSessionUtils.getSqlSession();         UserMapper mapper = sqlSession.getMapper(UserMapper.class);         User jack = mapper.getUserByName("jack");         System.out.println(jack);         SqlSessionUtils.closeSqlSession();      }

　　运行结果

　　 xml文件中的sql语句

select * from t_user where username = #{param2}

　　上述的sql语句解析为：

select * from t_user where username = 'jack'

　　注意：当mapper接口的查询方法的形参列表只有一个的情况下， #{ }中的参数可以随便书写

　　2）在在UserMapper.xml文件中，使用 ${ } 传递参数

<mapper namespace="com.hspedu.mapper.UserMapper">     <!--User getUserByName()-->     <select id="getUserByName" resultType="User">         select * from t_user where username = '${param2}'     </select> </mapper>

　　注意：在使用 ${ }时，需要在 ${ } 打上 ' '，即 ' ${ } '。

　　测试test

    // 按姓名查询数据     @Test     public void selectUserByName(){         SqlSession sqlSession = SqlSessionUtils.getSqlSession();         UserMapper mapper = sqlSession.getMapper(UserMapper.class);         User jack = mapper.getUserByName("jack");         System.out.println(jack);         SqlSessionUtils.closeSqlSession();      }

　　运行结果

　　xml文件中的sql语句

select * from t_user where username = '${param2}'

　　上述的sql语句解析为

select * from t_user where username = 'jack'

　　由此可见，${ } 并没有预编译处理，但是 #{ } 有预编译处理，显示出 #{ } 的安全性【防止sql注入】

　　注意：当mapper接口查询方法的形参列表只有一个的时候，${ }中的参数可以随便书写

　　2.2 当查询条件不只有一个时

　　以使用 #{ } 传递参数举例

　　情况1：若UserMapper接口声明如下

public interface UserMapper {     // 按照姓名和密码查询     User checkLogin(String username,String password); }

　　则在xml文件中使用args0，args1，param1，param2...作为 #{ }的参数

<mapper namespace="com.hspedu.mapper.UserMapper">      <!--User checkLogin(String username,String password)-->     <select id="checkLogin" resultType="User" >         <!--Available parameters are [arg1, arg0, param1, param2]-->         select * from t_user where username = #{param1} and password = #{param2}     </select> </mapper>

　　如果不用args0，args1，param1，param2...，则会报如下异常

org.apache.ibatis.exceptions.PersistenceException:  ### Error querying database.  Cause: org.apache.ibatis.binding.BindingException: Parameter 'param' not found. Available parameters are [arg1, arg0, param1, param2] ### Cause: org.apache.ibatis.binding.BindingException: Parameter 'param' not found. Available parameters are [arg1, arg0, param1, param2]

　　情况2：若UserMapper接口声明如下

public interface UserMapper {     // 参数map查询数据     User checkLoginByMap(Map<String,Object> map); }

　　则在UserMapper接口的checkLogin()中传入Map类型，达到自定义 #{ } 中参数的名称

　　xml文件声明如下，#{ } 传入的参数即Map中K键

<mapper namespace="com.hspedu.mapper.UserMapper">     <!--User checkLoginByMap(Map<String,Object> map)-->     <select id="checkLoginByMap" resultType="User" >         select * from t_user where username = #{username} and password = #{password}     </select> </mapper>

　　测试test

    @Test     public void selectByMap(){         SqlSession sqlSession = SqlSessionUtils.getSqlSession();         UserMapper mapper = sqlSession.getMapper(UserMapper.class);         HashMap<String, Object> map = new HashMap<>();         map.put("username","jack");         map.put("password","tom12345");         User user = mapper.checkLoginByMap(map);         System.out.println(user);         SqlSessionUtils.closeSqlSession();         System.out.println(sqlSession);     }

　　注意：在这种情况下，#{ } 的参数必须是形参Map的 key 键。

　　情况3：UserMapper接口声明如下

public interface UserMapper {     // 参数为User添加数据     int insertByUser(User user); }

　　则在xml文件声明如下，#{ } 的参数即为User类的属性

<mapper namespace="com.hspedu.mapper.UserMapper">      <!--int insertUser(User user)-->     <insert id="insertByUser" >         insert into t_user values(null,#{username},#{password},#{age},#{gender},#{email})     </insert> </mapper>

　　测试test

     // 测试使用对象作为参数，添加用户     @Test     public void testInsertByUser(){         SqlSession sqlSession = SqlSessionUtils.getSqlSession();         UserMapper mapper = sqlSession.getMapper(UserMapper.class);         User user = new User(null, "hsp", "hsp12345", 25, "男", "hsp123@qq.com");         int i = mapper.insertByUser(user);         System.out.println(i);         sqlSession.close();     }

　　情况4：UserMapper接口声明如下

public interface UserMapper {     // @Param作为参数     User checkLoginByParam(@Param("user") String username,@Param("pwd") String password); }

　　xml文件声明如下，使用@Param注解，指明在 #{ } 中传入的参数，更加方便

<mapper namespace="com.hspedu.mapper.UserMapper">     <!--User checkLoginByParam(@Param("user") String username,@Param("pwd") String password)-->     <select id="checkLoginByParam" resultType="User" >         select * from t_user where username = #{user} and password = #{pwd}     </select> </mapper>

　　测试test

    @Test     // 通过注解@Param传递参数     public void testByParam(){         SqlSession sqlSession = SqlSessionUtils.getSqlSession();         UserMapper mapper = sqlSession.getMapper(UserMapper.class);         User user = mapper.checkLoginByParam("jack", "tom12345");         System.out.println(user);         sqlSession.close();     }