mybatis中的#{}与${}的区别

动态sql作为Mybatis框架的重要特征之一，在实际开发中为开发人员提供了很大便利，我们需要将一系列参数传递到xml文件中，Mybatis会对其进行动态解析。Mybatis支持一下两种动态sql的语法：#{}和${}，两者的区别在于一下几方面：

1.#{}会将传入参数以字符串方式处理，会自动为其加双引号。

2.${}会将传入参数直接显示在sql语句中，所以${}一般用于传入数据库对象，例如表名，字段名等。

3.#{}会在很大程度上防止sql注入问题，#{}格式的语法在mybatis中使用Preparement语句来安全的设置值，这样的方式安全迅速，所以通常情况下，能够使用#{}时，不建议使用${}，特定情况除外；

4.特定情况可能有：

有时你只是想直接在SQL语句中插入一个不改变的字符串。比如，像ORDER BY，你可以这样来使用：ORDER BY ${...}，以及在进行进行多条件查询，使用CONCAT函数进行条件拼接时，使用${}，MyBatis不会修改或转义字符串。

重要：接受从用户输出的内容并提供给语句中不变的字符串，这样做并不不安全。这会导致潜在的SQL注入攻击，因此你不应该允许用户输入这些字段，通常自行转义并检查。