mybatis中占位符${}和#{}的区别

我们在书写SQL语句中，更多用的是#{}。

#{}在mybatis中，她其实最后会被解析成？，其实就是我们的？占位符。而且#{}的解析有预编译过程，会对我们的输入的参数进行类型解析，如果是String类型，我们设置参数的额时候就会自动为它加上引号，我们这样可以防止我们的SQL注入问题

$,我们一般用在我们的模糊查询，比如：‘select\ast from{t}_{b}ookwherenamelik{e}^{\prime }因为我们的${}在处理阶段不会做参数的类型解析，而仅仅只是做了字符串的简单拼接，若入参的name属性为’OR ‘1’ = '1,那么会解析成select * from t_book name like '%'OR '1' = '1%',这样我们就存在了注入的风险。
因为我们的后面1 = 1恒成立，这样攻击者在不需要知道用户名和密码的情况下，也能够完成登录验证