Mybatis 中 #{} 和 ${} 的区别

#{}

1、#{}表示一个占位符号，通过 #{} 可以实现 preparedStatement 向占位符中设置值，自动进行 java 类型和 jdbc 类型转换；

2、#{} 将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号；

例如：order by #{user_id}，如果传入的值是1，那么解析成 sql 时的值为order by "1"；

3、模糊查询写法：select * from "%"#{value}"%"；

4、#{} 可以有效防止sql注入；

5、#{} 可以接收简单类型值或 pojo 属性值，如果 parameterType 传输单个简单类型值，#{} 括号中可以任意名称；

6、如果 parameterType 传输pojo值，#{} 括号中可以直接填上与 pojo 类中对应的属性值；

${}

1、${} 表示拼接 sql 串，通过 ${} 可以将 parameterType 传入的内容拼接在 sql 中且不进行 jdbc 类型转换。

2、$将传入的数据直接显示生成在sql中。

例如：order by ${user_id}，如果传入的值是1，那么解析成 sql 时的值为order by 1

3、模糊查询写法：select * from ${value}

4、${} 无法防止sql注入

5、${} 可以接收简单类型值或 pojo 属性值，如果 parameterType 传输单个简单类型值，${} 括号中只能是 value。

6、$方式一般用于传入数据库对象，例如传入表名

7、一般能用 # 的就别用 $，MyBatis 排序时使用 order by 动态参数时需要注意，用 $ 而不是 #