「MyBatis」数据库相关操作2

客户端发送⼀条 SQL 给服务器后，大致流程如下：

1. 解析语法和语义, 校验SQL语句是否正确

2. 优化SQL语句, 制定执⾏计划

3. 执行并返回结果

一条 SQL如果走上述流程处理, 我们称为即时 SQL

@Mapper
public interface UserInfoMapper {
    @Select("select password from userinfo where username = #{name}")
    UserInfo queryByName1(String name);

    @Select("select password from userinfo where username = '${name}'")
    UserInfo queryByName2(String name);
}

@SpringBootTest
class UserInfoMapperTest {
    @Autowired
    private UserInfoMapper userInfoMapper;

    @Test
    void queryByName1() {
        userInfoMapper.queryByName1("lisi");
    }

    @Test
    void queryByName2() {
        userInfoMapper.queryByName2("wangwu");
    }
}

运行结果：

探讨二者的区别其实就是在讨论预编译 SQL 和即时 SQL 的区别

1. 预编译 SQL 性能更高

2. 预编译 SQL 可以防止 SQL 注入，更安全

SQL 注入是一种通过操作输入的数据来修改事先定义好的 SQL 语句，执行代码后对服务器进行攻击的技术

${} 会有 SQL 注入的风险，所以尽量使用 #{} 完成查询

下面演示一下 SQL 注入

@Mapper
public interface UserInfoMapper {
    @Select("select password from userinfo where username = '${name}'")
    List<UserInfo> queryByName2(String name);
}

@SpringBootTest
class UserInfoMapperTest {
    @Autowired
    private UserInfoMapper userInfoMapper;

    @Test
    void queryByName2() {
        List<UserInfo> userInfoList = userInfoMapper.queryByName2("' or 1='1");
        System.out.println(userInfoList);
    }
}

可以看到把所有的 password 都查询出来了，这显然是不合理的

3. 有一些场景 #{} 实现不了，需要用 ${}，比如排序

@Mapper
public interface UserInfoMapper {
    @Select("select id,username,age,gender,phone,delete_flag,create_time,update_time " +
            "from userinfo order by id #{sort}")
    List<UserInfo> queryAllUserBySort1(String sort); //传入排序方式:排升序 or 降序

    @Select("select id,username,age,gender,phone,delete_flag,create_time,update_time " +
            "from userinfo order by id ${sort}")
    List<UserInfo> queryAllUserBySort2(String sort);
}

@SpringBootTest
class UserInfoMapperTest {
    @Autowired
    private UserInfoMapper userInfoMapper;

    @Test
    void queryAllUserBySort1() {
        List<UserInfo> list = userInfoMapper.queryAllUserBySort1("asc");
        System.out.println(list);
    }

    @Test
    void queryAllUserBySort2() {
        List<UserInfo> list = userInfoMapper.queryAllUserBySort2("desc");
        System.out.println(list);
    }
}

#{sort} 查询结果如下：

按照 id 排降序：

模糊匹配（like 查询）

@Select("select id, username, age, gender, phone, delete_flag, create_time, 
update_time " +
 "from userinfo where username like '%#{key}%' ")
List<UserInfo> queryAllUserByLike(String key);

like 查询使用 #{} 会报错，需要用 ${}，但它存在 SQL 注入的问题，所以不能直接使用

解决办法就是使用 mysql 内置函数 concat() 来实现字符串拼接

    @Select("select id,username,age,gender,phone,delete_flag,create_time,update_time " +
            "from userinfo where username like concat('%',#{key},'%')")
    List<UserInfo> queryAllUserByLike(String key);

    @Test
    void queryAllUserByLike() {
        List<UserInfo> list = userInfoMapper.queryAllUserByLike("S");
        System.out.println(list);
    }

数据库连接池

优点：

1. 减少了网络开销

2. 资源重用

3. 提升系统的性能

常见的数据库连接池有：Hikari、Druid、C3P0、DBCP。其中 SpringBoot 默认使用的数据库连接池是 Hikari