mybatis的${}与#{}的区别

一.${}与#{}的区别

1、符号类型

（1）#{}：参数占位符，即预编译

（2）${} ：字符串替换符，即SQL拼接

2、防注入问题

（1）#{}：能防止sql 注入

（2）${}：不能防止sql 注入

3、参数替换位置

（1）#{}：变量替换是在DBMS 中

（2）${}：变量替换是在 DBMS 外

4、参数解析

（1）#{}：将传入的数据都当成一个字符串，会对传入的变量自动加一个单引号。如：user_id = #{userId}，如果传入的值是111，那么解析成sql时的值为user_id = ‘111’，如果传入的值是id，则解析成的sql为user_id = ‘id’。

（2）${}：将传入的参数直接显示生成在sql中，且不加任何引号。如：user_id = ${userId}，如果传入的值是111，那么解析成sql时的值为user_id = 111 ， 如果传入的值是id，则解析成的sql为user_id = id。

5、sql执行过程

（1）#{}：编译好SQL后语句再去取值

（2）${}：取值以后再去编译SQL语句

一般能用#的就别用$,二者流程如下

（1）#{}：动态解析 -> 预编译 -> 执行
（2）${}：动态解析 -> 编译 -> 执行