mybatis 提供了两种支持动态 sql 的语法:#{} 以及 ${}
1 .#{} 和 ${} 在预编译中的处理是不一样的。#{} 在预处理时,会把参数部分用一个占位符 ?
select * from user where id = ?
而 ${} 则只是简单的字符串替换
select * from user where id = id
2.#{}将传入的数据都当作一个字符串,会自动对传入的数据添加单引号,
如: order by #{id}
编译时: order by 'id'
3.${}将传入的数据直接显示在sql语句中语句中,一般用于动态传入表名或字段名使用,同时需要添加属性statementType=”STATEMENT”,使用非预编译模式。
如: order by #{id}
编译时: order by id
4.#{} 的参数替换是发生在 DBMS 中,而 ${} 则发生在动态解析过程中, #{}能防止Sql注入,${}无法防止sql注入,所以一般能用#{}就别用${},${}一般只用在传入数据库对象,如表名,字段名