MaBatis中的#{}和${}

1、在MyBatis 的映射配置文件中，动态传递参数有两种方式：
（1）#{} 占位符
（2）${} 拼接符

2、区别
（1)
　　1）#{} 为参数占位符 ?，即sql 预编译
　　2）${} 为字符串替换，即 sql 拼接

（2）
　　1）#{}：动态解析 -> 预编译 -> 执行
　　2）${}：动态解析 -> 编译 -> 执行

（3）
　　1）#{} 的变量替换是在DBMS 中
　　2）${} 的变量替换是在 DBMS 外

（4）
　　1）变量替换后，#{} 对应的变量自动加上单引号 ‘’
　　2）变量替换后，${} 对应的变量不会加上单引号 ‘’

（5）
　　1）#{} 能防止sql 注入
　　2）${} 不能防止sql 注入

3、#{} 和 {} 的实例：假设传入参数为 1
（1）开始
　　1）#{}：select * from t_user where uid=#{uid}
　　2）$ {}：select * from t_user where uid= ‘${uid}’

（2）然后
　　1）#{}：select * from t_user where uid= ?
　　2）${}&#x