当前位置： 首页 > news >正文

Mybatis入门——其他查询操作和数据库连接池（4）

news 来源：原创 2024/9/30 12:22:29

目录

一、多表查询

二、#{} 和 ${}

1、#{} 和 ${} 的使用

（1）Integer类型的参数

#{} 的使用

${} 的使用

（2）使用String类型的参数

#{} 的使用

${} 的使用

小结：

2、#{} 和 ${} 的区别

（1）#{} 的性能更高

（2）#{} 更安全 (防止SQL注入)

三、排序功能

四、like查询

五、数据库连接池

1、介绍

2、使用

六、总结

1、MySQL开发企业规范

2、#{} 和 ${} 区别

准备工作：

        SQL语句：

-- 创建数据库
DROP DATABASE IF EXISTS mybatis_test;CREATE DATABASE mybatis_test DEFAULT CHARACTER SET utf8mb4;-- 使用数据数据
USE mybatis_test;-- 创建表[用户表]
DROP TABLE IF EXISTS userinfo;
CREATE TABLE `userinfo` (`id` INT ( 11 ) NOT NULL AUTO_INCREMENT,`username` VARCHAR ( 127 ) NOT NULL,`password` VARCHAR ( 127 ) NOT NULL,`age` TINYINT ( 4 ) NOT NULL,`gender` TINYINT ( 4 ) DEFAULT '0' COMMENT '1-男 2-女 0-默认',`phone` VARCHAR ( 15 ) DEFAULT NULL,`delete_flag` TINYINT ( 4 ) DEFAULT 0 COMMENT '0-正常, 1-删除',`create_time` DATETIME DEFAULT now(),`update_time` DATETIME DEFAULT now(),PRIMARY KEY ( `id` ) 
) ENGINE = INNODB DEFAULT CHARSET = utf8mb4; -- 添加用户信息
INSERT INTO mybatis_test.userinfo ( username, `password`, age, gender, phone )
VALUES ( 'admin', 'admin', 18, 1, '18612340001' );
INSERT INTO mybatis_test.userinfo ( username, `password`, age, gender, phone )
VALUES ( 'zhangsan', 'zhangsan', 18, 1, '18612340002' );
INSERT INTO mybatis_test.userinfo ( username, `password`, age, gender, phone )
VALUES ( 'lisi', 'lisi', 18, 1, '18612340003' );
INSERT INTO mybatis_test.userinfo ( username, `password`, age, gender, phone )
VALUES ( 'wangwu', 'wangwu', 18, 1, '18612340004' );-- 创建文章表
DROP TABLE IF EXISTS articleinfo;CREATE TABLE articleinfo (id INT PRIMARY KEY auto_increment,title VARCHAR ( 100 ) NOT NULL,content TEXT NOT NULL,uid INT NOT NULL,delete_flag TINYINT ( 4 ) DEFAULT 0 COMMENT '0-正常, 1-删除',create_time DATETIME DEFAULT now(),update_time DATETIME DEFAULT now() 
) DEFAULT charset 'utf8mb4';-- 插入测试数据
INSERT INTO articleinfo ( title, content, uid ) VALUES ( 'Java', 'Java正文', 1 );

        对应实体类model：

@Data
public class ArticleInfo {private Integer id;private String title;private String content;private Integer uid;private Integer deleteFlag;;private Date createTime;private Date updateTime;//用户相关的信息private String username;private Integer gender;
}

        yml配置：

# 数据库配置
spring:datasource:url: jdbc:mysql://127.0.0.1:3306/mybatis_test?characterEncoding=utf8&useSSL=falseusername: rootpassword: 1234driver-class-name: com.mysql.cj.jdbc.Drivermybatis:# 配置 mybatis xml 的文件路径，在 resources/mapper 创建所有表的 xml 文件mapper-locations: classpath:mybatis/**Mapper.xmlconfiguration: # 配置打印 MyBatis日志log-impl: org.apache.ibatis.logging.stdout.StdOutImplmap-underscore-to-camel-case: true #配置驼峰自动转换

一、多表查询

        多表查询和单表查询差不多，只是SQL不同，下面是xml的配置文件：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN" "http://mybatis.org/dtd/mybatis-3-mapper.dtd">
<mapper namespace="com.example.mybatisdemo3.mapper.ArticleInfoMapper"><select id="selectArticleAndUserById" resultType="com.example.mybatisdemo3.model.ArticleInfo">select ta.*, tb.username, tb.gender from articleinfo taleft join userinfo tbon ta.uid = tb.idwhere ta.id = #{id}</select></mapper>

        ArticleInfoMapper接口代码如下：

@Mapper
public interface ArticleInfoMapper {List<ArticleInfo> selectArticleAndUserById(Integer id);
}

        测试类代码如下：

@SpringBootTest
class ArticleInfoMapperTest {@Autowiredprivate ArticleInfoMapper articleInfoMapper;@Testvoid selectArticleAndUserById() {System.out.println(articleInfoMapper.selectArticleAndUserById(1));}
}

        articleInfo和userinfo表如下：

        运行测试类代码，结果如下：

二、#{} 和 ${}

        MyBatis 参数赋值有两种⽅式，咱们前⾯使⽤了 #{} 进⾏赋值，接下来我们看下⼆者的区别。

1、#{} 和 ${} 的使用

（1）Integer类型的参数

#{} 的使用

        ArticleInfoMapper接口代码：

@Mapper
public interface UserInfoMapper {@Select("select * from userinfo where id = #{id}")List<UserInfo> selectId(Integer id);
}

        测试类代码如下：

@SpringBootTest
class UserInfoMapperTest {@Autowiredprivate UserInfoMapper userInfoMapper;@Testvoid selectId() {userInfoMapper.selectId(1);}
}

        运行测试类代码，结果如下：

        结果没有毛病。#{} 使用的是预编译SQL，通过 ? 占位的方式，提前对SQL进行编译，然后把参数填充到SQL语句中。这里的 #{} 会根据参数类型，自动拼接引号 ' '。

${} 的使用

        UserInfoMapper接口代码如下：

@Mapper
public interface UserInfoMapper {@Select("select * from userinfo where id = ${id}")List<UserInfo> selectId(Integer id);
}

        测试类代码如下：

@SpringBootTest
class UserInfoMapperTest {@Autowiredprivate UserInfoMapper userInfoMapper;@Testvoid selectId() {userInfoMapper.selectId(1);}
}

        运行测试类代码，结果如下：

        也没有毛病。

（2）使用String类型的参数

#{} 的使用

        UserInfoMapper接口代码：

@Mapper
public interface UserInfoMapper {@Select("select * from userinfo where username = ${username}")List<UserInfo> selectUserName(String username);
}

        测试类代码如下：

@SpringBootTest
class UserInfoMapperTest {@Autowiredprivate UserInfoMapper userInfoMapper;@Testvoid selectUserName() {userInfoMapper.selectUserName("zhangsan");}
}

        运行测试类代码，结果如下：

        没有毛病。

${} 的使用

        USerInfoMapper接口代码：

@Mapper
public interface UserInfoMapper {@Select("select * from userinfo where username = ${username}")List<UserInfo> selectUserName(String username);
}

        测试类代码：

@SpringBootTest
class UserInfoMapperTest {@Autowiredprivate UserInfoMapper userInfoMapper;@Testvoid selectUserName() {userInfoMapper.selectUserName("zhangsan");}
}

        运行测试类，发现报错了，报错信息如下：

        是BadSql，zhangsan应该是一个字符串，但拼接SQL的时候没有加引号，说明 ${} 是直接把参数传进去了，并没有添加引号 ' '，进而报错了。

小结：

1、#{} 使用的是预编译SQL，通过 ? 占位的方式，提前对SQL进行编译，然后把参数填充到SQL语句中。#{} 会根据参数类型，自动拼接引号 ' '。

2、${} 会直接进行字符替换，一起对SQL进行编译。如果参数为字符串，需要加上引号 ' '，

参数为数字类型时，也可以加上，查询结果不变，但是可能会导致索引失效，性能下降。

2、#{} 和 ${} 的区别

        #{} 和 ${} 的区别就是 预编译SQL和即时SQL的区别。

当客户发送一条SQL语句给服务器后，大致流程如下：

1、解析语法和语义，校验SQL语句是否正确。

2、优化SQL语句，指定执行计划。

3、执行并返回结果。

（一条SQL如果走上述流程处理，我们称之为 Immediate Statements(即时SQL) ）

（1）#{} 的性能更高

        绝大多数情况下，某一条SQL语句可能会被反复调用执行，或者每次执行的时候只有个别的值不同（比如select 的 where 子句值不同，update 的 set 子句值不同，insert 的 values 值不同）。如果每次都需要经过上面的语法解析、SQL优化、SQL编译等，则效率就明显不行了。如下图：

        预编译SQL，编译一次之后会将编译后的SQL语句缓存起来，后面再次执行这条语句时，不会再次编译（只是输入的参数不同），省去了解析优化等过程，以此来提高效率。

（2）#{} 更安全 (防止SQL注入)

        SQL注入：是通过操作输入的数据来修改事先定义好的SQL语句，以达到执行代码对服务器进行攻击的方法。

        sql注⼊代码： ' or 1='1

        USerInfoMapper接口代码：

@Mapper
public interface UserInfoMapper {@Select("select * from userinfo where username = '${username}'")List<UserInfo> selectUserName(String username);
}

        测试类代码如下：（正常访问情况）

@SpringBootTest
class UserInfoMapperTest {@Autowiredprivate UserInfoMapper userInfoMapper;@Testvoid selectUserName() {System.out.println(userInfoMapper.selectUserName("zhangsan"));}
}

        运行结果：

        测试类代码：（SQL注入场景）

@SpringBootTest
class UserInfoMapperTest {@Autowiredprivate UserInfoMapper userInfoMapper;@Testvoid selectUserName() {System.out.println(userInfoMapper.selectUserName("' or 1='1"));}
}

        运行结果如下：

        把表全部的信息都打印出来了。

        SQL注入后的SQL语句如下：

select * from userinfo where username = '' or 1='1'

        也就是说，如果username是空字符串，就打印是空字符串的，不是就为真，会打印userinfo表的全部信息。所以用于查询的字段，尽量使用 #{} 预查询的方式。

        SQL注入是一种非常常见的数据库攻击手段，SQL注入漏洞也是网络世界中最普遍的漏洞之一。如果发生在用户登录场景中，密码输入为 ' or 1='1，就可能完成登录（不是一定会发生的场景，需要看登录代码如何写）。

控制层：UserController

@RequestMapping("user")
@RestController
public class UserController {@Autowiredprivate UserService userService;@RequestMapping("/login")public boolean login(String name, String password) {UserInfo userInfo = userService.queryUserByPassword(name, password);if(userInfo != null) {return true;}return false;}
}

业务层：UserService

@Service
public class UserService {@Autowiredprivate UserInfoMapper userInfoMapper;public UserInfo queryUserByPassword(String name, String password) {List<UserInfo> userInfos = userInfoMapper.queryUserByPassword(name, password);if(userInfos != null && userInfos.size() > 0) {return userInfos.get(0);}return null;}
}

数据层：UserInfoMapper

@Mapper
public interface UserInfoMapper {@Select("select username, `password`, age, gender, phone from userinfo where username= '${name}' and password='${password}' ")List<UserInfo> queryUserByPassword(String name, String password);
}

        运行项目，浏览器访问：127.0.0.1:8080/user/login?name=admin&password=admin

        接下来访问SQL注⼊的代码：password 设置为  ' or 1='1

        访问：http://127.0.0.1:8080/user/login?name=admin&password=' or 1='1，结果如下：

        也登录成功了。这就是SQL注入所带来的风险。

三、排序功能

        从上面的例子中，可以得出结论：${} 会有SQL注入的风险，所以我们尽量使用 #{} 完成查询。既然如此，是不是 ${} 就没有存在的必要性了呢？当然不是，接下来我们看 ${} 的使用场景。京东商品的价格排序

        UserinfoMapper接口代码如下：（使用 ${} ）

@Mapper
public interface UserInfoMapper {@Select("select id, username, age, gender, phone, delete_flag, create_time, update_time " +"from userinfo order by id ${sort} ")List<UserInfo> queryAllUserBySort(String sort);
}

        测试类代码如下：

@SpringBootTest
class UserInfoMapperTest {@Autowiredprivate UserInfoMapper userInfoMapper;@Testvoid queryAllUserBySort() {userInfoMapper.queryAllUserBySort("desc");}
}

        运行测试类代码，结果如下：（按照了id逆序方式展示）

        UserinfoMapper接口代码改变：（使用 #{} ）

@Mapper
public interface UserInfoMapper {@Select("select id, username, age, gender, phone, delete_flag, create_time, update_time " +"from userinfo order by id #{sort} ")List<UserInfo> queryAllUserBySort(String sort);
}

        运行测试类，报错了，报错信息如下：

        可以看到，#{} 传参数是通过 ? 占位，#{} 根据参数类型判断是否拼接引号 ' '，如果参数类型是String，就会加上引号。所以SQL语句传参的desc会带有引号，但是SQL语句的desc是不带引号的，所以报错了，其转换后SQL语句如下：

select id, username, age, gender, phone, delete_flag, create_time, update_time from userinfo order by id 'desc'

        除此之外，还有表名作为参数时，也只能使用 ${} 。

        使用 ${} 有SQL注入的风险，怎样解决呢？按上面的这种情况举例子

1、让后端进行校验（在Controller这就直接进行规定参数的内容），传进来的参数必须是asc或者desc。

2、不传递参数，Mapper接口代码，@Select注解只直接使用asc或者desc，没有参数的传递，如图：

3、使用第三方工具辅助。

四、like查询

        UserInfoMapper接口代码如下：

@Mapper
public interface UserInfoMapper {@Select("select id, username, age, gender, phone, delete_flag, create_time, update_time "+ "from userinfo where username like '%#{key}%' ")List<UserInfo> queryAllUserByLike(String key);
}

        直接使用 #{} 会报错，把 #{} 改成 ${} 可以正确查出来，但是 ${} 存在SQL注⼊的问题，所以不能直接使⽤ ${}。
        解决办法：使⽤ mysql 的内置函数 concat() 来处理，代码如下：

@Mapper
public interface UserInfoMapper {@Select("select id, username, age, gender, phone, delete_flag, create_time, update_time "+ "from userinfo where username like concat('%',#{key},'%') ")List<UserInfo> queryAllUserByLike(String key);
}

        测试类代码如下：

@SpringBootTest
class UserInfoMapperTest {@Autowiredprivate UserInfoMapper userInfoMapper;@Testvoid queryAllUserByLike() {System.out.println(userInfoMapper.queryAllUserByLike2("zhangsan"));}
}

        执行测试类代码，结果如下：

        比直接使用 ${} 好，其代码如下：下面这种写法有SQL注入的风险。

@Mapper
public interface UserInfoMapper {@Select("select id, username, age, gender, phone, delete_flag, create_time, update_time "+ "from userinfo where username like '%${key}%' ")List<UserInfo> queryAllUserByLike(String key);
}

五、数据库连接池

        上面的Mybatis代码练习中，我们其实使用了数据库连接池技术，避免频繁的创建连接，销毁连接，下面我们来了解数据库连接池。

1、介绍

        数据库连接池负责分配、管理和释放数据库连接，它允许应用程序重复使用一个现有的数据库连接，而不是再重新建立一个。

没有使用数据库连接池的情况：每次执行SQL语句，要先创建一个新的连接对象，然后执行SQL语句，SQL语句执行完，再关闭连接对象释放资源，这种重复创建连接、消耗连接的操作，比较消耗资源。

使用数据库连接池的情况：程序启动时，会再数据库连接池中创建一定数量的Connection对象，当客户端请求数据库连接池，会从数据库连接池中获取Connection对象，然后执行SQL，SQL语句执行完，再把Connection归还给连接池。

优点：1、减少了网络开销       2、资源重用       3、提升了系统的性能

2、使用

        常见的数据库连接池：C3P0、DBCP、Druid、Hikari，目前比较流行的是Hikari、Druid。

        SpringBoot默认使用的数据库连接池就是：Hikari，如图：

        Hikari 是⽇语"光"的意思(ひかり)，Hikari也是以追求性能极致为⽬标。
        如果我们想把默认的数据库连接池切换为Druid，只需要引入相关依赖即可，pom.xml代码如下：

        <!-- druid启动器的依赖  --><dependency><groupId>com.alibaba</groupId><artifactId>druid-spring-boot-3-starter</artifactId><version>1.2.21</version></dependency>

        再次运行上面like查询的代码，结果如下：

        参考官方地址：druid/druid-spring-boot-starter at master · alibaba/druid · GitHub

Druid连接池是阿里巴巴开源的数据库连接池项目。

功能强大，性能优秀，是Java语言最好的数据库连接池之一。

学习文档：首页 · alibaba/druid Wiki · GitHub

        二者对比，参考：Hikaricp和Druid对比_数据库_晚风暖-华为云开发者联盟 (csdn.net)

六、总结

1、MySQL开发企业规范

（1）表名，字段名使⽤小写字⺟或数字，单词之间以下划线分割。尽量避免出现数字开头或者两个下划线中间只出现数字。数据库字段名的修改代价很大，所以字段名称需要慎重考虑。

MySQL 在 Windows 下不区分大小写，但在 Linux 下默认是区分大小写。因此，数据库名，表名，字段名都不允许出现任何大写字母，避免节外⽣枝。
正例：aliyun_admin，rdc_config，level3_name
反例：AliyunAdmin，rdcConfig，level_3_name

（2）表必备三字段：id，create_time，update_time

id 为主键，类型为 bigint unsigned，单表时⾃增，步长为 1。
create_time，update_time 的类型均为 datetime 类型，create_time表示创建时间，
update_time表⽰更新时间。
有同等含义的字段即可，字段名不做强制要求。

（3）在表查询中，避免使⽤ * 作为查询的字段列表，标明需要哪些字段

1. 增加查询分析器解析成本。
2. 增减字段容易与 resultMap 配置不⼀致。
3. ⽆⽤字段增加⽹络消耗，尤其是 text 类型的字段。

2、#{} 和 ${} 区别

（1）#{}：预编译处理，${}：字符直接替换。

（2）#{} 可以防止SQL注入，${} 存在SQL注入的风险，查询语句中，可以使用 #{}，推荐使用 #{}

（3）但是一些场景，#{} 不能完成，比如 排序 功能，表名、字段名作为参数时，这些情况需要使用 ${} 。

（4）模糊查询虽然可以使用 ${} 完成，但因为存在 SQL注入 的问题，所有通常使用MySQL内置函数concat 来完成。

相关文章：

  • 【oracle】Oracle RAC中的GNS到底是什么？
  • ctfshow web入门 黑盒测试
  • linux input 驱动
  • 持续总结中！2024年面试必问 20 道 Rocket MQ面试题（二）
  • 语言模型的发展
  • 磁盘管理以及文件系统08
  • Python二叉树遍历算法
  • 防御恶意爬虫攻击
  • 学习Java的日子 Day49 函数，DOM
  • aws glue配置读取本地kafka数据源
  • 【Linux】关于获取进程退出状态中的core dump标志补充
  • Google Earth Engine（GEE）深度学习入门教程-Python数据读入篇
  • npm build报错Cannot find module ‘html-webpack-plugin‘解决方法
  • 设计模式—23种设计模式重点 表格梳理
  • cherry-markdown公式不好选中的问题
  • 2017前端实习生面试总结
  • 5、React组件事件详解
  • avalon2.2的VM生成过程
  • FastReport在线报表设计器工作原理
  • If…else
  • Intervention/image 图片处理扩展包的安装和使用
  • Making An Indicator With Pure CSS
  • Vue实战(四)登录/注册页的实现
  • 阿里云爬虫风险管理产品商业化，为云端流量保驾护航
  • 大数据与云计算学习：数据分析（二）
  • 分享自己折腾多时的一套 vue 组件 --we-vue
  • 基于axios的vue插件，让http请求更简单
  • 类orAPI - 收藏集 - 掘金
  • 手机端车牌号码键盘的vue组件
  • 提升用户体验的利器——使用Vue-Occupy实现占位效果
  • 我建了一个叫Hello World的项目
  • 线性表及其算法（java实现）
  • 想晋级高级工程师只知道表面是不够的！Git内部原理介绍
  • - 语言经验 - 《c++的高性能内存管理库tcmalloc和jemalloc》
  • ​​​【收录 Hello 算法】10.4 哈希优化策略
  • #Linux（Source Insight安装及工程建立）
  • $ git push -u origin master 推送到远程库出错
  • (Bean工厂的后处理器入门)学习Spring的第七天
  • (C++哈希表01)
  • (done) 声音信号处理基础知识(4) (Understanding Audio Signals for ML)
  • （Mac上）使用Python进行matplotlib 画图时，中文显示不出来
  • (Matlab)使用竞争神经网络实现数据聚类
  • （Windows环境）FFMPEG编译，包含编译x264以及x265
  • （阿里云在线播放）基于SpringBoot+Vue前后端分离的在线教育平台项目
  • （草履虫都可以看懂的）PyQt子窗口向主窗口传递参数，主窗口接收子窗口信号、参数。
  • （蓝桥杯每日一题）love
  • (三)docker：Dockerfile构建容器运行jar包
  • (十五)使用Nexus创建Maven私服
  • （四）JPA - JQPL 实现增删改查
  • (一)为什么要选择C++
  • (源码版)2024美国大学生数学建模E题财产保险的可持续模型详解思路+具体代码季节性时序预测SARIMA天气预测建模
  • .net mvc actionresult 返回字符串_.NET架构师知识普及
  • .net wcf memory gates checking failed
  • .Net+SQL Server企业应用性能优化笔记4——精确查找瓶颈
  • .NetCore实践篇：分布式监控Zipkin持久化之殇