MyBatis占位符#{}与${}的底层机制解析：预编译与安全风险

> ### 摘要 > 本文深入解析MyBatis框架中占位符#{}与${}的底层处理机制，重点阐明#{}如何在SQL语句解析阶段被统一转换为预编译参数占位符“?”，从而交由JDBC执行预编译，有效规避SQL注入风险；而${}则采用字符串直接拼接方式，绕过预编译流程，存在显著的安全隐患。文章结合源码逻辑，厘清二者在词法解析、参数映射及Statement类型选择等环节的关键差异，并强调预编译在提升性能与保障安全性上的双重价值。 > ### 关键词 > MyBatis,占位符,预编译,SQL注入,#{}, ## 一、MyBatis占位符基础机制 ### 1.1 MyBatis作为Java持久层框架，其核心功能之一就是将Java方法与SQL语句进行映射。在SQL执行过程中，占位符的使用是保证参数安全与灵活性的关键。MyBatis支持两种占位符：#{}和${}，它们在处理方式和最终生成的SQL语句上有着本质的区别。 这看似微小的符号差异——一个包裹在花括号中的井号，一个仅由美元符号启引——实则划开了安全与风险之间的分水岭。当开发者敲下`#{id}`时，他们交付的不仅是一段代码，更是一种对数据边界的敬畏；而写下`${tableName}`的瞬间，却可能悄然松开了SQL防火墙的第一道锁扣。这种差异并非语法糖的取舍，而是MyBatis在词法解析器中就已埋下的价值判断：它选择让`#{} `走入预编译的严谨轨道，交由JDBC驱动层层校验；而将`${}`置于字符串拼接的开放路径，任其直面未经消毒的原始输入。正因如此，每一次SQL执行，都成为一次隐秘的抉择——是信任框架的防护机制，还是亲手拆解安全的封装？这背后，是工程理性与开发直觉之间无声却沉重的张力。 ### 1.2 占位符#{}在MyBatis中被称为参数占位符，它在预编译阶段会被转换成问号(?)，形成预编译SQL语句。这种机制使得SQL语句的结构保持不变，参数值通过绑定方式传入，有效防止SQL注入攻击。了解#{}的工作原理，对于编写安全的SQL语句至关重要。 当`#{}`被解析器捕获，它便踏上一条被严格定义的旅程：从XML或注解中的静态文本，到`ParameterMapping`对象的抽象封装，再到`PreparedStatement`中那个沉默却关键的`?`——这个问号不是疑问，而是契约，是JDBC向数据库发出的郑重声明：“此处留白，待参数以类型安全的方式注入。”它不参与SQL语法构建，不改变语句结构，更不会将用户输入拼进SQL骨架。正是这种“隔离式占位”，使恶意输入如`' OR '1'='1`沦为无害的字符串字面量，被数据库当作普通值处理，而非可执行逻辑。因此，`#{}`不只是一个符号，它是MyBatis在代码与数据库之间筑起的一道缓冲带，是开发者手中最朴素也最可靠的安全锚点——只要它被正确使用，那道名为SQL注入的深渊，便永远无法跨越这一个问号的距离。 ## 二、预编译过程详解 ### 2.1 MyBatis的预编译过程包括SQL解析、参数绑定和语句执行三个主要阶段。在SQL解析阶段，MyBatis会解析SQL语句中的#{}占位符，并将其转换为参数位置标记。这一阶段还包括对SQL语句的语法检查和优化。 这一阶段，是整条安全链路的起点，也是最沉默却最不容妥协的守门人。当XML中那行`SELECT * FROM user WHERE id = #{id}`被读入，MyBatis的词法分析器便开始逐字符扫描——它不急于执行，而是先“拆解”：剥离出`#{id}`这个结构，识别其为参数占位符，继而抹去变量名，只留下一个纯粹的、无类型的、等待填充的“空位”。这个空位不是空白，而是契约的具象；它不携带任何语义，不参与运算，不触发拼接，只静静等待JDBC以类型感知的方式注入。此时的SQL已不再是原始文本，而是一张被抽离了动态血肉的骨架——语法被校验，结构被固化，连空格与换行都成为可复用的模板。正是在这毫秒级的解析中，MyBatis完成了第一次“消毒”：它没有过滤输入，而是从根本上拒绝让输入踏入SQL语法域。这并非技术的炫技，而是一种克制的智慧——真正的防御，从不始于拦截，而始于隔离。 ### 2.2 参数绑定阶段是预编译过程的核心。MyBatis会使用PreparedStatement接口，将解析后的SQL语句和参数值进行绑定。这种绑定机制确保了参数值不会被当作SQL代码执行，从而有效防止SQL注入。预编译语句的执行效率也高于普通SQL语句，尤其是在重复执行相同SQL的场景中。 绑定，是预编译灵魂的落点。当`PreparedStatement`被创建，那个曾被标记为`?`的位置，不再接受字符串拼接，而是通过`setString()`、`setInt()`等强类型方法注入——每一次调用，都是对数据身份的一次确认：这是字符串，不是语句；这是整数，不是逻辑分支。数据库驱动在此刻接管控制权，将参数值以二进制形式传输，彻底隔绝于SQL解析器之外。恶意输入如`admin' -- `，在此处只是被序列化的字节流，永远无法唤醒SQL引擎的执行意图。更动人的是，这份严谨还馈赠以效率：同一模板被缓存、复用，省去反复编译开销，让高频查询如呼吸般自然。这不是冷冰冰的性能数字，而是框架对开发者时间的温柔体恤——它把本该由人反复校验的边界，铸成自动运转的齿轮；把本该悬于指尖的安全焦虑，沉淀为一次`execute()`调用后的笃定回响。 ## 三、总结 MyBatis中`#{}`与`${}`的本质差异，根植于其底层处理路径的分野：前者经由词法解析生成`ParameterMapping`，最终映射为JDBC `PreparedStatement`中的`?`占位符，全程纳入预编译机制，实现参数类型安全绑定与SQL注入免疫；后者则跳过解析与绑定环节，直接触发字符串拼接，使原始输入无过滤地嵌入SQL文本，构成典型注入风险点。预编译不仅赋予SQL执行以可复用的模板化效率，更以“结构与数据分离”这一设计哲学，构筑起抵御恶意输入的第一道技术防线。对二者机制的清晰辨识，是编写健壮、安全持久层代码的前提，亦是理解MyBatis如何平衡表达力与防护力的关键切口。