在mybatis中写sql的过程中需要接参数,这时我们就需要用到${}或者是#{}这两个东西,但是有什么区别这个就需要去探讨下了!
在电话号码位置同样输入13,不同呈现结果
- #{} 为参数占位符 ?,即sql 预编译,#{}:动态解析 -> 预编译 -> 执行
AND cust.CONTACT_PHONE like concat('%',concat(#{contactPhone},'%'))
呈现效果
- ${} 为字符串替换,即 sql 拼接 , ${}:动态解析 -> 编译 -> 执行
AND cust.CONTACT_PHONE like concat('%',concat(${contactPhone},'%'))
#方式能够很大程度防止sql注入 $ 方式无法防止Sql注入 $ 方式一般用于传入数据库对象,例如传入表名
一般能用#的就别用$.