#{} 为占位符,传参后默认会用引号将参数引起来
${} 单纯替代,即传过来的参数是什么就填什么,不会有引号
例如:
table的参数值为acmg_pecust_valueInfo
select * from #{table}; >> select * from 'acmg_pecust_valueInfo';
select * from ${table}; >> select * from acmg_pecust_valueInfo;
优缺点:
使用#{}可以预防sql攻击,而${}却不能
例如:
当custNo的参数值为001;drop acmg_pecust_valueInfo;时;
使用${}时如下:
select * from acmg_pecust_valueInfo t where t.cust_no=${custNo};
>> select * from acmg_pecust_valueInfo t where t.cust_no=001;drop acmg_pecust_valueInfo;
上述情况就是执行sql同时也删除了表
用#{}的话就不会发生此情况
select * from acmg_pecust_valueInfo t where t.cust_no=#{custNo};
>> select * from acmg_pecust_valueInfo t where t.cust_no="001;drop acmg_pecust_valueInfo;"