Mybatis映射文件中的#{}与${}

Mybatis映射文件中的#{}与${}
#{}实现的是向prepareStatement中的预处理语句中设置参数值,sql语句中#{}表示一个占位符即?.
<select id="getItemCommentaryNum" resultType="map">
SELECT
case when answer_xz.answer=1 then COUNT(1) end totalNum,
commentary_item.id itemId,
answer_xz.question_id questionId
FROM
atsysdb_commentary_user_answer_xz answer_xz
LEFT JOIN atsysdb_commentary_item commentary_item ON answer_xz.item_id=commentary_item.id
WHERE answer_xz.project_id=#{projectId} and answer_xz.papers_user_id in (${userPapersIds})
GROUP BY commentary_item.id
</select>


使用占位符#{}可以有效防止sql注入,在使用时不需要关心参数值的类型,mybatis会自动进行Java类型和jdbc类型
的转换.#{}可以接受简单类型值或pojo属性值,如果parameterType传输单个简单类型值,#{}括号中可以是value或
其它名称.当我们使用#{}的时候,发出的sql中,#{}代表的内容会自动加上"",而${}是直接把东西取出来直接使用:
String userPapersIds = "1,2,3,4,5";
answer_xz.papers_user_id in (#{userPapersIds}) 执行的sql是 : answer_xz.papers_user_id in ('1,2,3,4,5')
answer_xz.papers_user_id in (${userPapersIds}) 执行的sql是 : answer_xz.papers_user_id in (1,2,3,4,5)


${}和#{}不同,通过${}可以将parameterType传入的内容拼接在sql中且不进行jdbc类型转换,${}可以接收简单类型值或
pojo属性值,如果parameterType传输单个简单类型值,${}括号中只能是value. 使用${}不能防止sql注入,但是有时用${}
会非常方便,如下的例子:
<select id="selectUserByName" parameterType="string"resultType="user">  
    select * from user where username like '%${username}%'  
</select>
另一种方法:
<select id="selectUserByName" parameterType="string"resultType="user">  
    select * from user where username like concat(concat('%',#{username}),'%')  
</select>