MyBatis中的sql防注入

mybatis中的”#”和“KaTeX parse error: Expected 'EOF', got '#' at position 9: ”的用法不同。”#̲”可以直接取得字符串，而“”是获得其中的值。

例如 select * from book where bookid = #｛bookid｝
当bookid为1时。转化为的sql语句为
select * from book where bookid = ”1”

select * from book where bookid = $｛bookid｝

当bookid为1时。转化为的sql语句为
select * from book where bookid = 1

这样即使在输入栏中输入sql语句，在使用#时也会是一个字符串。不能注入。

大多数情况下还是经常使用#，一般能用#的就别用$；但有些情况下必须使用$，例：MyBatis排序时使用order by 动态参数时需要注意，用$而不是#。