系統(tǒng)：WIN8.1

數(shù)據(jù)庫(kù)：Oracle 11GR2

開(kāi)發(fā)工具：MyEclipse 8.6

框架：Spring3.2.9、SpringMVC3.2.9、MyBatis3.2.8

用MyBatis寫(xiě)排序的時(shí)候字段很多，于是想當(dāng)然的就把需要排序的字段用String類(lèi)型扔到了配置文件里面。但是卻沒(méi)有起到效果。后來(lái)查閱資料，發(fā)現(xiàn)應(yīng)該使用$符號(hào)。

• #符號(hào)將傳入的數(shù)據(jù)都當(dāng)做一個(gè)字符串，會(huì)對(duì)數(shù)據(jù)增加一個(gè)引號(hào)，如orderby#userid# ,userid對(duì)應(yīng)的值是10001，解析后就是orderby'10001'。
• $符號(hào)將傳入的數(shù)據(jù)直接顯示在sql中。如orderby $userid$ , userid對(duì)應(yīng)的值是10001，解析后結(jié)果為orderbyuserid。

#可以最大程度防止sql注入，$則無(wú)法防止sql的注入，一般課可以傳入數(shù)據(jù)庫(kù)對(duì)象，比如表明或者字段名稱(chēng)。使用的時(shí)候需要注意。