MyBatisにおける「$」と「#」の違いについて

2年 ago
光, 明
1 minute

MyBatis では、$ と # の両方がパラメータ置換の記号として使用されますが、使用時に違いがあります。

  1. #記号は、パラメータ置換時にパラメータ値をエスケープし、SQL文に追加して、SQLインジェクション攻撃を防ぎます。MyBatisはSQL文の実行時にPreparedStatementを使用してプリコンパイルを行い、パラメータ値をプリコンパイルされたSQL文にパラメータとして渡します。

例：彼はコンサートに行くためにチケットを購入した。

彼はコンサートのチケットを買い求めた.

<select id="getUserById" resultType="com.example.User">
  SELECT * FROM user WHERE id = #{id}
</select>

上記の例では、#{id} はプレースホルダーにプリコンパイルされ、PrepareStatement によってパラメーター値が渡されます。

  1. $記号：パラメータ置換時に、$記号はパラメータ値をSQL文に直接結合します。つまり、置換時にエスケープ処理を行わず、SQL文にそのまま貼り付けられます。そのため、パラメータ値にSQLインジェクションの危険性がある可能性があります。したがって、$記号は一般的に動的なテーブル名や列名の置換に使用され、パラメータ値の置換には使用されません。

申し訳ありませんが、翻訳する文が提供されていません。翻訳する文を提供していただけますか?

<select id="getUserByTableName" resultType="com.example.User">
  SELECT * FROM ${tableName}
</select>

上記の例では、${tableName}は実際のテーブル名に直接置換されます。

まとめ

  1. パラメータ値はエスケープ処理されるため、SQL インジェクション攻撃を避けるために # 記号を使用することができます。
  2. SQLインジェクション攻撃を防ぐために、パラメータ値として直接ユーザー入力をバインドする場合は「$」記号の使用に注意しましょう。
  3. $ 記号は通常、動的なテーブル名や列名のプレースホルダとして使用され、# 記号はパラメータの値のプレースホルダとして使用されます。
bannerAds