mybatis知识点

1.sql注入
#{}是经过预编译的，是安全的， MyBatis启用了预编译功能，在SQL执行前，会先将上面的SQL发送给数据库进行编译；执行时，直接使用编译好的SQL，替换占位符“?”就可以了。因为SQL注入只能对编译过程起作用，所以这样的方式就很好地避免了SQL注入的问题。其实在框架底层，是JDBC中的PreparedStatement类在起作用。
${}是未经过预编译的，仅仅是取变量的值，是非安全的，存在SQL注入。
2.mybatis原理
通过mapperScannerConfigure扫描注册，找到xml里对应的节点，如果xml没有对应的节点，会报BindingException异常，接口类不一定和xml文件名相同，但是xml文件里的namespace要指向接口类

参考：https://www.cnblogs.com/luoxn28/p/6417892.html