「MyBatis」数据库相关操作2

客户端发送⼀条 SQL 给服务器后，大致流程如下：

1. 解析语法和语义, 校验SQL语句是否正确

2. 优化SQL语句, 制定执⾏计划

3. 执行并返回结果

一条 SQL如果走上述流程处理, 我们称为即时 SQL

@Mapper
public interface UserInfoMapper {@Select("select password from userinfo where username = #{name}")UserInfo queryByName1(String name);@Select("select password from userinfo where username = '${name}'")UserInfo queryByName2(String name);
}

@SpringBootTest
class UserInfoMapperTest {@Autowiredprivate UserInfoMapper userInfoMapper;@Testvoid queryByName1() {userInfoMapper.queryByName1("lisi");}@Testvoid queryByName2() {userInfoMapper.queryByName2("wangwu");}
}

运行结果：

探讨二者的区别其实就是在讨论预编译 SQL 和即时 SQL 的区别

1. 预编译 SQL 性能更高

2. 预编译 SQL 可以防止 SQL 注入，更安全

SQL 注入是一种通过操作输入的数据来修改事先定义好的 SQL 语句，执行代码后对服务器进行攻击的技术

${} 会有 SQL 注入的风险，所以尽量使用 #{} 完成查询

下面演示一下 SQL 注入

@Mapper
public interface UserInfoMapper {@Select("select password from userinfo where username = '${name}'")List<UserInfo> queryByName2(String name);
}

@SpringBootTest
class UserInfoMapperTest {@Autowiredprivate UserInfoMapper userInfoMapper;@Testvoid queryByName2() {List<UserInfo> userInfoList = userInfoMapper.queryByName2("' or 1='1");System.out.println(userInfoList);}
}

可以看到把所有的 password 都查询出来了，这显然是不合理的

3. 有一些场景 #{} 实现不了，需要用 ${}，比如排序

@Mapper
public interface UserInfoMapper {@Select("select id,username,age,gender,phone,delete_flag,create_time,update_time " +"from userinfo order by id #{sort}")List<UserInfo> queryAllUserBySort1(String sort); //传入排序方式:排升序 or 降序@Select("select id,username,age,gender,phone,delete_flag,create_time,update_time " +"from userinfo order by id ${sort}")List<UserInfo> queryAllUserBySort2(String sort);
}

@SpringBootTest
class UserInfoMapperTest {@Autowiredprivate UserInfoMapper userInfoMapper;@Testvoid queryAllUserBySort1() {List<UserInfo> list = userInfoMapper.queryAllUserBySort1("asc");System.out.println(list);}@Testvoid queryAllUserBySort2() {List<UserInfo> list = userInfoMapper.queryAllUserBySort2("desc");System.out.println(list);}
}

#{sort} 查询结果如下：

按照 id 排降序：

模糊匹配（like 查询）

@Select("select id, username, age, gender, phone, delete_flag, create_time, 
update_time " +"from userinfo where username like '%#{key}%' ")
List<UserInfo> queryAllUserByLike(String key);

like 查询使用 #{} 会报错，需要用 ${}，但它存在 SQL 注入的问题，所以不能直接使用

解决办法就是使用 mysql 内置函数 concat() 来实现字符串拼接

    @Select("select id,username,age,gender,phone,delete_flag,create_time,update_time " +"from userinfo where username like concat('%',#{key},'%')")List<UserInfo> queryAllUserByLike(String key);

    @Testvoid queryAllUserByLike() {List<UserInfo> list = userInfoMapper.queryAllUserByLike("S");System.out.println(list);}

数据库连接池

优点：

1. 减少了网络开销

2. 资源重用

3. 提升系统的性能

常见的数据库连接池有：Hikari、Druid、C3P0、DBCP。其中 SpringBoot 默认使用的数据库连接池是 Hikari