#{}和${}的区别和一些应用场景

在MyBatis的sql映射文件中,分别使用#{}和${}符号获取参数值时有相同也有不同之处, 尽管#{}和${}都可以获得map中的值或者pojo对象属性的值,这两者并不能完全等价,比如获取的参数值是表名的时候,#{}支持,${}不支持; 在分表/排序/防止sql注入等方面也不尽相同。
　　在下面的语句中，如果 name 的值为 zhangsan，则两种方式无任何区别：

select * from student where name = #{name};
select * from student where name = ${name};
　　其解析之后的结果均为

select * from user where name = ‘zhangsan’;
　　但是 #{} 和 ${} 在预编译中的处理是不一样的。#{} 在预处理时，会把参数部分用一个占位符 ? 代替，变成如下的 sql 语句：

select * from user where name = ?;
　　而 ${} 则只是简单的字符串替换，在动态解析阶段，该 sql 语句会被解析成

select * from user where name = ‘zhangsan’;
　　以上，#{} 的参数替换是发生在 DBMS 中，而 ${} 则发生在动态解析过程中。

那么，在使用过程中我们应该使用哪种方式呢？

优先使用 #{}。因为 ${} 会导致 sql 注入的问题。看下面的例子：

select * from ${tableName} where name = #{name}
　　在这个例子中，如果表名为

user; delete user; –

则动态解析之后 sql 如下：

select * from user; delete user; – where name = ?;
　　--之后的语句被注释掉，而原本查询用户的语句变成了查询所有用户信息+删除用户表的语句，会对数据库造成重大损伤，极大可能导致服务器宕机。
　　
'#‘相当于对数据 加上 双引号，’$'相当于直接显示数据

'#'将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。

'$'将传入的数据直接显示生成在sql中。

MyBatis排序时使用order by 动态参数时需要注意，用$而不是#

字符串替换
默认情况下，使用#{}格式的语法会导致MyBatis创建预处理语句属性并以它为背景设置安全的值（比如?）。这样做很安全，很迅速也是首选做法，有时你只是想直接在SQL语句中插入一个不改变的字符串。比如，像ORDER BY，你可以这样来使用：
ORDER BY ${columnName}

这里MyBatis不会修改或转义字符串。

接受从用户输出的内容并提供给语句中不变的字符串，这样做是不安全的。这会导致潜在的SQL注入攻击，因此你不应该允许用户输入这些字段，或者通常自行转义并检查

#{} 用于CRUD语句
${} 则用于模糊查询(记得加%%哦)