目录
一、增删改查
🌷1、用户类
🌷2、UserMapper
🌷3、UserMapper.xml
🌷4、测试类Test
🌷5、UserService类
🌷6、UserController类
🌷7、注意点总结
二、#{} 和${} 的使用区别
🌷1、#{}与${}的区别（SQL注入）
🌷2、$的SQL注入：用户登录演示
🌷3、$的使用场景：排序+like
🌲 使用场景1：排序
🌲使用场景2：like
一、增删改查
🌷1、用户类
注意：这里的用户类的属性与数据库中的表的字段要一一对应才行。关于两者可以不一致的写法，我们后续再继续介绍~
@Data
public class User {
private Integer Id;
private String username;
private String password;
private String photo;
private Date createTime;
private Date updateTime;
}🌷2、UserMapper
@Mapper
public interface UserMapper {
//定义接口：查询数据库内容
/**
* 查询所有内容
* @return 返回数据库中的所有用户
*/
public abstract List<User> queryAll();
/**
* 根据Id查询用户
* @return 返回符合条件大用户
*/
//(1)当只有一个参数的时候，可以加注解也可以不加：加注解的话：@Param("uid")，xml文件也叫uid要对应。
public abstract User queryById(@Param("uid") Integer id);
//(2)当只有一个参数的时候，如果不加注解@Param，此时的Integer后的参数名叫什么都行，可以与xml文件中的where id = 后的参数名不对应
// public abstract User queryById(Integer aaa);
//(3)当有多个参数的时候，就得加注解@Param
/**
* 增加：插入一个对象：也就是一条记录
* @param user 插入对象
* @return 返回受影响的行数
*/
public abstract Integer insert(User user);
//加注解
public abstract Integer insert1(@Param("aaa") User user);
//获取自增id
public abstract Integer insert2(@Param("userinfo")User user);
/**
* 修改用户内容：加注解的方式
* @param user
*/
// void update(@Param("ccc") User user);
//不加注解
void update(User user);
/**
* 根据主键删除id:没有加注解
* @param id
*/
// void delete(Integer Id);
//加注解的方式
void delete(@Param("aaa") Integer id);
}🌷3、UserMapper.xml
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN" "http://mybatis.org/dtd/mybatis-3-mapper.dtd">
<mapper namespace="demo2.mapper.UserMapper">
<!--表示实现的是demo1下的UserMapper接口-->
<select id="queryAll" resultType="demo1.model.User">
select * from userinfo
</select>
<!--id是方法名,resultType是返回的结果：返回的是一个User对象-->
<select id="queryById" resultType="demo2.model.User">
select * from userinfo where id = #{uid}
</select>
<insert id="insert" useGeneratedKeys="true" keyProperty="id">
insert into userinfo(username,password,photo) values(#{username},#{password},#{photo})
</insert>
<insert id="insert1">
insert into userinfo(username,password,photo) values(#{aaa.username},#{aaa.password},#{aaa.photo})
</insert>
<!-- useGeneratedKeys是否使用自动生成生成的key值,赋值的结果返回给谁？-->
<insert id="insert2" useGeneratedKeys="true" keyProperty="id">
insert into userinfo(username,password,photo) values(#{userinfo.username},#{userinfo.password},#{userinfo.photo})
</insert>
<!-- 没有使用注解的方式，Mybatis会自动帮我们生成属性，#后面直接加属性名就好了，加注解就是下面这个-->
<update id="update">
update userinfo set username=#{ccc.username}, password=#{ccc.password} where id = #{ccc.id}
</update>
<!-- <delete id="delete">-->
<!-- delete from userinfo where id = #{id}-->
<!-- </delete>-->
<delete id ="delete">
delete from userinfo where id= #{aaa}
</delete>
</mapper>🌷4、测试类Test
@Slf4j
@SpringBootTest
class UserMapperTest {
@Autowired
private UserMapper userMapper;
@Test
void queryById() {
log.info("queryById...");
User user = userMapper.queryById(1);
log.info(user.toString());
}
@Test
void insert() {
log.info("insert...");
User user = new User();
user.setUsername("小花花");
user.setPassword("123");
user.setPhoto("jfdsf");
Integer row = userMapper.insert(user);
log.info("insert:"+row +user.getId());
}
@Test
void insert1() {
log.info("insert...");
User user = new User();
user.setUsername("小叶子");
user.setPassword("456");
user.setPhoto("doasj");
Integer row = userMapper.insert(user);
log.info("insert:"+row);
}
@Test
void insert2() {
log.info("insert...");
User user = new User();
user.setUsername("小兔子");
user.setPassword("000");
user.setPhoto("000");
System.out.println(user.getId());
System.out.println(user.getUsername());
Integer row = userMapper.insert(user);
log.info("insert:"+row+"自增id"+user.getId());
}
@Test
void update() {
log.info("update...");
User user = new User();
user.setId(1);
user.setUsername("小老虎");
user.setPassword("888");
userMapper.update(user);
}
@Test
void delete() {
log.info("delete...");
userMapper.delete(16);
}
}🌷5、UserService类
@Service
public class UserService {
/**
* 根据Id查询用户
*/
@Resource
private UserMapper userMapper;
public User queryById(){
return userMapper.queryById(1);
}
}🌷6、UserController类
@RestController
@RequestMapping("/web")
public class UserController {
@Resource
private UserService userService;
@RequestMapping("/queryById")
public User queryById(){
return userService.queryById();
}
}
🌷7、注意点总结
1、根据Id查询用户
情况1：当只有一个参数的时候，可以加注解也可以不加。
（1）不加注解：参数名可以任意：
（2）加注解：@Param("uid")，xml文件也叫uid要对应。而Integer后的名字可以任意。
（3）如果有多个参数：就必须加注解。
2、插入数据
情况1：不加注解
情况2：加注解
问题：怎么拿到自增Id?
（1）useGeneratedKeys：这会令 MyBatis 使⽤ JDBC 的 getGeneratedKeys ⽅法来取出由数据库内部⽣成的主键（⽐如：像 MySQL 和 SQL Server 这样的关系型数据库管理系统的⾃动递增字段），默认值：false。
（2）keyColumn：设置⽣成键值在表中的列名，在某些数据库（像 PostgreSQL）中，当主键列不是表中的第⼀列的时候，是必须设置的。如果⽣成列不⽌⼀个，可以⽤逗号分隔多个属性名称。
（3）keyProperty：指定能够唯⼀识别对象的属性，MyBatis 会使⽤ getGeneratedKeys 的返回值或 insert 语句的 selectKey ⼦元素设置它的值，默认值：未设置（unset）。如果⽣成列
不⽌⼀个，可以⽤逗号分隔多个属性名称。
个人总结：
其实增删改查都可以加注解或者不加，不过在插入数据和修改数据的时候，加注解@Param("aaa")的方式要用对象名.属性(aaa.getName)获取。在通过id查询和删数数据的时候，给id加注解@Param("uid")的方式，其中注解后的参数要和xml文件中的#{uid}内容一致。 一般不加，防止出错。
二、#{} 和${} 的使用区别
现象1：将queryById的方法中的#替换为$：两者成功！
现象2：根据姓名来查询
🌷1、#{}与${}的区别（SQL注入）
#{}：预编译处理。通过占位方式实现。
${}：字符直接替换。有SQL注入问题。
（1）预编译处理是指：MyBatis 在处理#{}时，会将 SQL 中的 #{} 替换为?号，通过占位的方式实现来赋值。（2）直接替换：是MyBatis 在处理 ${} 时，就是把 ${} 替换成变量的值。直接被当做是sql语句的一部分来执行，被当做是列名了，属于字符的直接替换，会造成SQL注入（用户输入的SQL中带有恶意SQL）。加了引号之后才会被当做一个参数。
举个栗子🌰
我们再打印日志观察一下：
首先在xml文件中添加：
和上面我们所说的内容是相符的。
问题1：是不是#{}就等同于${}呢？我们继续看下面
🌷2、$的SQL注入：用户登录演示
根据用户名和密码查询：
情况1：根据#查询
情况2：根据$查询： 
总结1：
sql 注⼊代码：“' or 1='1”。
（1）#方式：
用户名密码正确，查询出对应用户；
用户名正确，密码错误，显示null；
SQL注入：显示为null。
（2）$方式
用户名密码正确，查询出对应用户；
用户名正确，密码错误，显示为null；
SQL注入：也能查询出用户！！！
回答上面的问题1，两者之间还是不等价的，$存在SQL注入的问题。那么又有新的问题了。
问题2：我们是不是就不使用$了呢？肯定不是，存在肯定有它存在的道理。
🌷3、$的使用场景：排序+like
🌲 使用场景1：排序
如果使用#的方式：发现不能实现排序功能。
所以在排序问题上只能使用$符号，但是它存在SQL注入（用户输入的SQL带有恶意SQL）的问题，怎么解决呢？那就让用户只能点击，后端在查询之前，对参数进行校验：只能传两个值：desc和asc。其中${}不用再加引号了。
🌲使用场景2：like
like使用#会报错，使用$可以查询出来。
使用$方式设置，成功。
但是使用$还是存在SQL注入的问题，我们解决不了，所以用另一种方式：需要使用mysql内置函数concat(字符串直接替换)。
总结2：
在排序和like的时候，直接使用#会报错，使用$可以成功。但是都存在SQL注入的问题，其中，排序的解决办法是：后端在查询之前，对参数进行校验：只能传两个值：desc和asc。在like的时候，$的SQL注入问题无法解决，我们一般使用mysql内置函数concat。文章来源：https://www.toymoban.com/news/detail-610130.html
文章来源地址https://www.toymoban.com/news/detail-610130.html
到了这里，关于【MyBatis 学习二】增删改查&& 参数占位符 #{} 和 ${}的使用的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！
