${} 和 #{} 的区别 MySQL

默认情况下，使用#{}语法，MyBatis会产生PreparedStatement语句，并且安全地设置PreparedStatement参数，这个过程中MyBatis会进行必要的安全检查和转义。例如：
    
    执行SQL：select * from emp where name = #{employeeName}
    参数：employeeName=>Smith
    解析后执行的SQL：select * from emp where name = ？

    执行SQL：Select * from emp where name = ${employeeName}
    参数：employeeName传入值为：Smith
    解析后执行的SQL：Select * from emp where name =Smith

综上所述，${}方式可能会引发SQL注入的问题，同时也会影响SQL语句的预编译，所以从安全性和性能的角度出发，应尽量使用#{}。当需要直接插入一个不做任何修改的字符串到SQL语句中，例如在ORDER BY后接一个不添加引号的值作为列名，这时候就需要使用${}。