MyBatis总结(十七)--#与$取值区别

#{}:是以预编译的形式，将参数设置到sql语句中；PreparedStatement；防止sql注入

${}:取出的值直接拼装在sql语句中；会有安全问题；

大多情况下，我们去参数的值都应该去使用#{}；

 

原生jdbc不支持占位符(表明和order by后面的列明都只能用${}取值)的地方我们就可以使用${}进行取值

比如分表、排序。。。；按照年份分表拆分（及只有传入的是sql语句的参数值时才可以用#{}方式，其他情况取值都只能用${}方式）

select * from ${year}_salary where xxx;（表明只能用${}取值）

select * from tbl_employee order by ${f_name} ${order} （order by后面的只能用${}取值）

 

关于Statement 和 PreparedStatement之间的关系和区别可以参考下面这篇文章