简说MyBatis的出现，使用以及来源

首先Mybatis能够实现普通SQL语句的查询，存储过程和高级映射的持久层框架。所谓持久层，指的是要直接跟数据库交互的这一层，简而言之就是Dao层（Data Access Objects）。对原始映射可以利用注解形式或者xml文件的配置来实现。

简要说明下Mybatis和Hibernate的不同之处？

mybatis提供一种“半自动化”的ORM实现。
这里的“半自动化”，是相对Hibernate等提供了全面的数据库封装机制的“全自动化”ORM实现而言，“全自动”ORM实现了POJO和数据库表之间的映射，以及 SQL 的自动生成和执行。

而mybatis的着力点，则在于POJO与SQL之间的映射关系。

Mybatis中#与$的区别：

$是将传入的数据直接显示生成sql语句，eg:select id,name,age from student where id =${id},当前端把id值1，传入到后台的时候，就相当于 select id,name,age from student where id = 1.

#是将传入的值当做字符串的形式，eg:select id,name,age from student where id =#{id},当前端把id值1，传入到后台的时候，就相当于 select id,name,age from student where id ='1'.

1. #将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：order by #user_id#，如果传入的值是111,那么解析成sql时的值为order by "111", 如果传入的值是id，则解析成的sql为order by "id".
　　
2. $将传入的数据直接显示生成在sql中。如：order by $user_id$，如果传入的值是111,那么解析成sql时的值为order by user_id, 如果传入的值是id，则解析成的sql为order by id.
　　
3. #方式能够很大程度防止sql注入。
　　
4.$方式无法防止Sql注入。

5.$方式一般用于传入数据库对象，例如传入表名.
　　
6.一般能用#的就别用$.

MyBatis排序时使用order by 动态参数时需要注意，用$而不是#

字符串替换
默认情况下，使用#{}格式的语法会导致MyBatis创建预处理语句属性并以它为背景设置安全的值（比如?）。这样做很安全，很迅速也是首选做法，有时你只是想直接在SQL语句中插入一个不改变的字符串。比如，像ORDER BY，你可以这样来使用：
ORDER BY ${columnName}
这里MyBatis不会修改或转义字符串。

重要：接受从用户输出的内容并提供给语句中不变的字符串，这样做是不安全的。这会导致潜在的SQL注入攻击，因此你不应该允许用户输入这些字段，或者通常自行转义并检查。

使用#{}格式的语法在mybatis中使用Preparement语句来安全的设置值，执行sql类似下面的：

PreparedStatement ps = conn.prepareStatement(sql);
ps.setInt(1,id);

这样做的好处是：更安全，更迅速，通常也是首选做法。

而且#{}格式的sql能够预编译，能再内存中保存sql语法，不用重新组装sql语法。

. 不过有时你只是想直接在 SQL 语句中插入一个不改变的字符串。比如，像 ORDER BY，你可以这样来使用：

ORDER BY ${columnName}

此时MyBatis 不会修改或转义字符串。

这种方式类似于：

  Statement st = conn.createStatement();
       
      ResultSet rs = st.executeQuery(sql);

这种方式的缺点是：以这种方式接受从用户输出的内容并提供给语句中不变的字符串是不安全的，会导致潜在的 SQL 注入攻击，因此要么不允许用户输入这些字段，要么自行转义并检验。

接下来谈谈Mybatis的工作原理：

只是对JDBC进行了底层的封装，但是底层还是经过jdbc进行操作，只是通过 SqlSessionFactory，SqlSession Executor,StatementHandler，ParameterHandler,ResultHandler和TypeHandler等几个处理器封装了这些过程；

总之是三个处理器，一个执行器。如下所示。

执行器：Executor (update, query, flushStatements, commit, rollback, getTransaction, close, isClosed)
   参数处理器： ParameterHandler (getParameterObject, setParameters)
   结构处理器 ResultSetHandler (handleResultSets, handleOutputParameters)
    sql查询处理器：StatementHandler (prepare, parameterize, batch, update, query)

其中StatementHandler用通过ParameterHandler与ResultHandler分别进行参数预编译与结果处理。而ParameterHandler与ResultHandler都使用TypeHandler进行映射。

工作过程具体流程，今晚我们进行逐个解释！

简说MyBatis的出现，使用以及来源

猜你喜欢