06-Mybatis ${} 和 #{}

在 MyBatis 中，${} 和 #{} 都可以用于在 SQL 语句中引用参数，它们的作用类似于 Java 中的字符串拼接和预编译机制。

• ${} 和 #{} 都可以用于在 SQL 语句中引用参数，但是作用不同。
• ${} 表示拼接 SQL 字符串，会将传入的参数直接拼接到 SQL 中，可能引发 SQL 注入的风险。
• #{} 表示预编译 SQL，会将传入的参数添加到预编译语句中，并使用占位符 ? 替代实际的参数值，相当于对参数值进行了转义，避免了 SQL 注入的风险。

1 ${}：表示拼接 SQL 字符串，会将传入的参数直接拼接到 SQL 中，由此可能引发 SQL 注入的风险。在某些情况下，${} 语法可能是必须的，例如在动态 SQL 中使用 ${} 可以更方便地拼接 SQL 片段。

举个例子，假设有如下需求：

<select id="findUserById" resultType="User">
    SELECT * FROM user WHERE id = ${userId}
</select>

在该 SQL 语句中，我们通过 ${} 引用了一个名为 userId 的参数，并将其直接拼接到 SQL 中。这种方式可能会导致 SQL 注入，例如当 userId 参数的值为 1 OR 1=1 时，查询条件会变为 WHERE id = 1 OR 1=1，导致查询结果不安全。

2 #{}：表示预编译 SQL，会将传入的参数添加到预编译语句中，并使用占位符 ? 替代实际的参数值，相当于对参数值进行了转义，从而避免了 SQL 注入的风险。在执行 SQL 时，MyBatis 会将占位符替换成实际的参数值。

举个例子，假设有如下需求：

<select id="findUserById" resultType="User">
    SELECT * FROM user WHERE id = #{userId}
</select>

在该 SQL 语句中，我们通过 #{} 引用了一个名为 userId 的参数，并将其添加到预编译语句中。在执行 SQL 时，MyBatis 会根据传入的参数值，将占位符 ? 替换成实际的参数值，从而避免了 SQL 注入的风险。