mybatis中#和$的区别

动态 SQL 是 mybatis 的强大特性之一，也是它优于其他 ORM 框架的一个重要原因。mybatis 在对 sql 语句进行预编译之前，会对 sql 进行动态解析，解析为一个 BoundSql 对象，也

是在此处对动态 SQL 进行处理的。在动态 SQL 解析阶段， #{ } 和 ${ } 会有不同的表现：

1.,$和#都可以获取对象中的属性值

2.#可以防止sql注入.因为#在解析时，先把sql中使用#的地方变成?，然后通过预编译设置参数值。

例如如下SQL：

  SELECT * FROM user WHERE name = #{name}

#{} 在动态解析的时候， 会解析成一个参数标记符。就是解析之后的语句是：

   SELECT * FROM user WHERE name = ?

那么我们使用 ${}的时候：

select * from user where name = ${name}; 

当name="'xxx'"时，${}在动态解析的时候，会将我们传入的参数当做String字符串填充到我们的语句中，就会变成下面的语句：

select * from user where name = 'xxx';

预编译之前的 SQL 语句已经不包含占位符（?）了，完全已经是常量数据了

基于上面的示例，$会导致sql注入,举例如下：

#假如 name = "123' OR 'x' = 'x";
#SQL则变为
SELECT * FROM user WHERE name = '123' OR 'x' = 'x' 

总结下，

在使用#时，mybais会先将之解析为占位符（?），然后使用预编译设置参数，可预防注入。

在使用$时，mybatis会直接使用未转义的值进行替换。