什么是SQL注入

1、SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序，而这些输入大都是SQL语法里的一些组合，通过执行SQL语句进而执行攻击者所要的操作，其主要原因是程序没有细致地过滤用户输入的数据，致使非法数据侵入系统

以下是一个简单的 SQL 注入攻击示例：
假设有一个简单的登录表单，用户可以通过输入用户名和密码来登录。后端代码中的 SQL 查询可能如下所示：

select id, name from user where name = '用户名' and password = '密码';

如果攻击者在用户名字段中输入 ’ OR 1=1 --，则构成了一个简单的 SQL 注入攻击，导致查询语句变为：

select id, name from user where name = '' or 1=1 --' and password = '密码';

2、#{}是预编译处理，$ {}是字符串替换。mybatis在处理#{}时，会将sql中的#{}替换为?号，调用PreparedStatement的set方法来赋值；mybatis在处理 $ { } 时，就是把 ${ } 替换成变量的值。使用 #{} 可以有效的防止SQL注入，提高系统安全性。

3、为什么它这样处理就能预防SQL注入提高安全性呢？其实是因为SQL语句在程序运行前已经进行了预编译，在程序运行时第一次操作数据库之前，SQL语句已经被数据库分析，编译和优化，对应的执行计划也会缓存下来并允许数据库已参数化的形式进行查询，当运行时动态地把参数传给

4、PreprareStatement时，即使参数里有敏感字符如 or '1=1’也数据库会作为一个参数一个字段的属性值来处理而不会作为一个SQL指令，如此，就起到了防止SQL注入的作用了！