动态解析:mybatis将mapper中的sql解析为预编译可以认识的预编译sql;
预编译:PreparedStatement对sql进行编译,变为DBMS可以直接执行的sql;
#{}是占位符、防止sql注入,mybatis在动态解析的时候会将#{} 替换为? 然后用PreparedStatement的set方法设置值,该set方法会对传进来的参数进行转义,将一些注入特殊字符和注入的sql进行过滤
解析前:select * from user_info where user_no = #{} and user_name = #{}
解析后:select * from user_info where user_no = ? and user_name = ?
&{}是sql拼接符,仅仅为一个string的替换,在动态sql解析的时候会进行变量替换。
解析前:select * from user_info where user_no = ${}
解析后:select * from user_info where user_no = 111 and user_name = 123
如果mapper中传入的参数user_no = ' 1 Or true --',就会查所有用户信息;要注意传递的参数'*',并不代表传递的就是带单引号的,只是为了让你能看清这是个字符串,所以才会加上单引号,但其实其本身并没有单引号,除非是'\'*\''
综上所述:${} 变量替换是在动态sql解析阶段,而#{}变量替换是在DBMS中。