一、MyBatis动态sql

1.1 概述

MyBatis是一个Java持久化框架，而动态SQL是MyBatis中的一个特性。动态SQL允许在SQL语句中根据不同的条件动态地生成不同的SQL片段。这样可以根据不同的情况来构建灵活的SQL查询语句，而不需要编写多个静态的SQL语句。动态SQL可以通过使用if语句、choose语句、foreach语句等来实现条件判断、循环等功能，从而根据不同的条件生成不同的SQL语句。这种灵活性使得MyBatis在处理复杂的查询需求时非常有用。

1.2 if元素

用于根据条件判断是否包含某个SQL片段。

<update id="updateByPrimaryKeySelective" parameterType="com.xqx.model.Book" >update t_mvc_book<set ><if test="bname != null" >bname = #{bname,jdbcType=VARCHAR},</if><if test="price != null" >price = #{price,jdbcType=REAL},</if></set>where bid = #{bid,jdbcType=INTEGER}</update>

在这个示例动态生成查询语句的条件部分中。id属性指定了映射的唯一标识，也是映射的方法名字。

1.3 foreach元素

用于遍历集合或数组，并生成对应的SQL语句。

 <select id="selectByIn" resultMap="com.xqx.model.Book" parameterType="java.util.List" >select<include refid="Base_Column_List" />from t_mvc_bookwhere bid in<foreach collection="bookIds" open="(" close=")" separator="," item="bid">#{bid}</foreach></select>

二、模糊查询

2.1 使用#{字段名}

这种方式是最常见且推荐的方式。
在SQL语句中使用#{字段名}会将字段值作为预编译参数进行处理，可以有效防止SQL注入攻击。MyBatis会自动为参数添加引号和转义特殊字符，确保查询的准确性和安全性。

 <select id="selectBooksLike1" resultType="com.xqx.model.Book" parameterType="java.lang.String">select * from t_mvc_book where bname like #{bname}
</select>

2.2 使用${字段名}

这种方式是直接将字段值替换到SQL语句中。
在SQL语句中使用${字段名}会将字段值直接拼接到SQL语句中，没有经过预编译处理。
使用这种方式更加灵活，可以完成一些复杂的字符串拼接操作.

  <select id="selectBooksLike2" resultType="com.xqx.model.Book" parameterType="java.lang.String">select * from t_mvc_book where bname like '${bname}'
</select>

2.3 使用concat{‘%’,#{字段名},‘%’}

这种方式使用concat函数将字段值与通配符’%'进行拼接。
类似于第一种方式，使用了预编译参数的方式，相对安全且可读性较好。这种方式适用于需要在查询条件中同时使用通配符前后匹配的情况。

 <select id="like3" resultType="com.xqx.model.Book" parameterType="java.lang.String">select<include refid="Base_Column_List" />from t_mvc_bookwhere bname like concat('%',#{bname},'%');</select>

2.4 mybatis中#与$的区别

#将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。
如：order by #user_id#，如果传入的值是111,那么解析成sql时的值为order by ‘111’,
如果传入的值是id，则解析成的sql为order by “id”.
$将传入的数据直接显示生成在sql中。
如：order by $user_id$ ，如果传入的值是111,那么解析成sql时的值为order by 111,
如果传入的值是id，则解析成的sql为order by id.
```
<select id="executeSQL" >${executeSQL}
</select>
```
#方式能够很大程度防止sql注入。
$方式无法防止Sql注入。
$方式一般用于传入数据库对象，例如传入表名.
一般能用#的就别用$.