MyBatis中#和$的区别

sql中字符串拼接(推荐)
      SELECT * FROM tableName WHERE name LIKE CONCAT('%'，#{text}，'%');

       //注：CONCAT是mysql数据库中才有的

      SELECT * FROM tableName WHERE name LIKE like '%'+#{bookName}+'%'; //注：sqlserver中的写法

1. #将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。
   如：order by #user_id#，如果传入的值是111,那么解析成sql时的值为order by '111', 
       如果传入的值是id，则解析成的sql为order by "id".

2. $将传入的数据直接显示生成在sql中。
   如：order by $user_id$，如果传入的值是111,那么解析成sql时的值为order by user_id,
       如果传入的值是id，则解析成的sql为order by id.

我在自己写的一个小案例里面定义了一个查全部方法list 

 

在我的mapperXml文件里可以看到我的模糊查询，根据clazzName查询，用的就是字符串

用$则是 clazz_name like ‘%$clazz_name%’,但一般不建议这样使用，应该用#，如下图

3. #方式能够很大程度防止sql注入。
 
4. $方式无法防止Sql注入。

（ps：sql注入：

 

 

）
5. $方式一般用于传入数据库对象，例如传入表名. 

 
6. 一般能用#的就别用$.