Mybatis中的 ${} 和 #{}區別與用法

Mybatis 的Mapper.xml語句中parameterType向SQL語句傳參有兩種方式：#{}和${}

我們經常使用的是#{},一般解說是因爲這種方式可以防止SQL注入，簡單的說#{}這種方式SQL語句是經過預編譯的，它是把#{}中間的參數轉義成字符串，舉個例子：

select * from student where student_name = #{name} 

預編譯後,會動態解析成一個參數標記符?：

select * from student where student_name = ?

而使用${}在動態解析時候，會傳入參數字符串

select * from student where student_name = 'lyrics'

總結：

1. #{} 這種取值是編譯好SQL語句再取值
2. ${} 這種是取值以後再去編譯SQL語句

• #{}方式能夠很大程度防止sql注入。
• $方式無法防止Sql注入。
• $方式一般用於傳入數據庫對象，例如傳入表名.
• 一般能用#的就別用$.

舉個activiti工作流的例子：

select * from ${prefix}ACT_HI_PROCINST where PROC_INST_ID_ = #{processInstanceId}