mysql常用取值方式#{} ${}
第一种方式,通过JDBC preparedstatement 会设置参数 parameter ?的形式
?会替换为字符串所以不会出现注入 select * from where i = #{var}
var = 1;drop database;
select * from where i = “1;drop database;”
第二种方式,直接替换,可能出现的问题是,select * from where i = ${var}
var = 1;drop database;
第二种方式出现注入
select * from where i = 1;drop database;