首先通過下面兩條sql及列印的執行sql，清楚明了的看一下它們的區別：
select
*from
user
where
userid=$ password=#
preparing:select * from user where id=1 and password=111111
select
* from
user
where
userid=# and password=#
同樣入參傳入1，列印的執行sql如下：
preparing:select * from user where id=？ and password=?
parameters:1(string),111111(string)
mybatis啟用了預編譯功能，在sql執行前，會先將上面的sql傳送給資料庫進行編譯；執行時，如果入參為#{}格式的，將入參替換編譯好的sql中的佔位符「?」；如果入參格式為${}，則直接使用編譯好的sql就可以了。因為sql注入只能對編譯過程起作用，所以使用#{}入參的方式可以很好地避免了sql注入的問題。
mybatis預編譯底層實現原理
mybatis是如何做到sql預編譯的呢？其實在框架底層，是jdbc中的preparedstatement類在起作用，preparedstatement是我們很熟悉的statement的子類，它的物件包含了編譯好的sql語句。這種「準備好」的方式不僅能提高安全性，而且在多次執行同乙個sql時，能夠提高效率。原因是sql已編譯好，再次執行時無需再編譯。
總結
#{}：相當於jdbc中的preparedstatement
${}：是輸出變數的值
簡單說，#{}是經過預編譯的，是安全的；${}是未經過預編譯的，僅僅是取變數的值，是非安全的，存在sql注入。
番外（sql注入）
還是以上面的兩條sql為例，入參id的值傳入「1 or userid=2」,入參pwd的值傳入「111111」。以#{}格式傳入入參後的執行sql：
select * from user where userid=」1 or userid=2」 and password = 「111111」;
以${}格式傳入入參後的執行sql：
select * from user where userid=1 or userid=2 and password = 111111;
很顯然，以${}格式傳入入參後的執行sql打亂了我們的預期sql格式及查詢條件，從而實現sql注入。所以，除了order by 等需要傳入資料庫欄位等的入參使用${},其他的盡量使用#{}。
myBatis中 和 區別
1.將傳入的資料都當成乙個字串，會對自動傳入的資料加乙個雙引號。如 order by user id 如果傳入的值是111,那麼解析成sql時的值為order by 111 如果傳入的值是id，則解析成的sql為order by id 2.將傳入的資料直接顯示生成在sql中。如 order by u...
mybatis 中 和 區別
在使用mybatis 框架時 在xml的配置檔案中，通常是使用 來獲取數值的 如 select from t user inf where id 這時 如果你傳入的值為zhangsan 則會編譯成為 select from t user inf where id zhangsan mybatis 會...
Mybatis 中 和 區別
號與 區別 號表示引數，代表乙個字串。如 select a,b,c from table1 where id value 傳入引數後如 value 1 則可生成 select a,b,c from table1 where id 1 select a,b,c from table1 where ci...