#占位符和$拼接符

区别：

• #{ } 解析为一个 预编译语句（prepared statement）的参数占位符 ?作为参数不作为指令去执行，能防止sql注入；
  ${ } 仅仅为一个纯碎的 string 替换，在动态 SQL 解析阶段将会进行变量替换，不能防止sql注入

sql 预编译：是数据库驱动在发送 sql 语句和参数给 DBMS 数据库管理系统之前对 sql 语句进行编译，这样 DBMS 执行 sql 时，就不需要重新编译。

动态解析：mybatis 在调用 connection 进行 sql 预编译之前，会对sql语句进行动态解析

• 变量替换后，#{} 对应的变量自动加上单引号 ‘’ ；
  变量替换后，${} 对应的变量不会加上单引号 ‘’

表名作参数时，必须用 ${}。如：select * from ${tableName}
order by 时，必须用 ${}。如：select * from t_user order by ${columnName}
使用自定义参数名，建议：在映射器接口方法的参数前加注解@Param(“参数名”)
当有多个参数时，使用MyBatis 默认值 arg0、arg1 或 param1、param2