在下面的語句中，如果 username 的值為 zhangsan，則兩種方式無任何區別：
select * from user where name = #;
select * from user where name = $;
其解析之後的結果均為
select * from user where name = 'zhangsan';
但是 #{} 和 ${} 在預編譯中的處理是不一樣的。#{} 在預處理時，會把引數部分用乙個佔位符 ? 代替，變成如下的 sql 語句：
select * from user where name = ?;
而 ${} 則只是簡單的字串替換，在動態解析階段，該 sql 語句會被解析成
select * from user where name = 'zhangsan';
以上，#{} 的引數替換是發生在 dbms 中，而 ${} 則發生在動態解析過程中。
那麼，在使用過程中我們應該使用哪種方式呢？
答案是，優先使用 #{}。因為 ${} 會導致 sql 注入的問題。看下面的例子：
select * from $ where name = #
在這個例子中，如果表名為
user; delete user; --
則動態解析之後 sql 如下：
select * from user; delete user; -- where name = ?;
--之後的語句被注釋掉，而原本查詢使用者的語句變成了查詢所有使用者資訊+刪除使用者表的語句，會對資料庫造成重大損傷，極大可能導致伺服器宕機。
但是表名用引數傳遞進來的時候，只能使用 ${} ，具體原因可以自己做個猜測，去驗證。這也提醒我們在這種用法中要小心sql注入的問題。
Mybatis之動態sql（以及 和 的區別）
是將括號中的變數之前是什麼型別傳過來還是什麼型別，然而 是將括號中的變數傳過來都是字串型別 不管之前什麼型別 用於查詢操作的標籤where標籤類似於where 1 1的作用 第乙個滿足的if 會自動將 and去掉 select id,user name username,password,real ...
mybatis的動態sql中 和 的區別
一 介紹 select fromuserwherename jack select fromuserwherename 或者是 select fromuserwherename 1.區別 動態 sql 是 mybatis 的強大特性之一，也是它優於其他 orm 框架的乙個重要原因。mybatis 在...
動態sql和分頁
1.mybatis動態sql 1.1 if 1.2 trim 1.3 foreach 1.4 其他 choose set where2.模糊查詢 3種方式 2.1 引數中直接加入 2.2 使用 代替 不建議使用該方式，有sql注入風險 關鍵 與 區別？引數型別為字串，會在前後加單引號 則直接插入值 ...