含义
#{}: 为占位符
${}: 为拼接符
MyBatis 中 #{} 和 ${} 的主要区别
- # 传入的参数在 SQL 中显示为字符串,# 方式能够很大程度防止 SQL 注入
- $ 传入的参数在 SQL 中直接显示为传入的值,$ 方式无法防止 SQL 注入
其他区别
- 传入的参数在 SQL 中显示不同
- #{} 为参数占位符？，即 SQL 预编译
- # 传入的参数在 SQL 中显示为字符串（当成一个字符串），会对自动传入的数据加一个双引号。
- ${} 为字符串替换，即字符串拼接
- $ 传入的参数在 SQL 中直接显示为传入的值
- # 可以防止 SQL 注入的风险（语句的拼接）；但 $ 无法防止 SQL 注,入。
- $ 方式一般用于传入数据库对象，例如，传入表名。
- 大多数情况下还是经常使用 #，一般能用 # 的就别用 $；但有些情况下必须使用 $，例：MyBatis 排序时使用 Order By 动态参数时需要注意，用 $ 而不是 #。
- 执行流程
- #{}：动态解析 --> 预编译 --> 运行
- ${}：动态解析 --> 编译 -->运行
- 变量替换
- #{}：变量替换是在DBMS(数据库管理系统)中,会对对应的变量自动加上''
- ${}：变量替换实在DBMS外，不会对对应的变量加上''
