mybatis中#和$的区别

动态 SQL 是 mybatis 的强大特性之一，也是它优于其余 ORM 框架的一个重要缘由。mybatis 在对 sql 语句进行预编译以前，会对 sql 进行动态解析，解析为一个 BoundSql 对象，也

是在此处对动态 SQL 进行处理的。在动态 SQL 解析阶段， #{ } 和 ${ } 会有不一样的表现：

1.,$和#均可以获取对象中的属性值

2.#能够防止sql注入.由于#在解析时，先把sql中使用#的地方变成?，而后经过预编译设置参数值。

例如以下SQL：

SELECT * FROM user WHERE name = #{name}

#{} 在动态解析的时候， 会解析成一个参数标记符。就是解析以后的语句是：

SELECT * FROM user WHERE name = ?

那么咱们使用 ${}的时候：

select * from user where name = ${name};

当name="'xxx'"时，${}在动态解析的时候，会将咱们传入的参数当作String字符串填充到咱们的语句中，就会变成下面的语句：

select * from user where name = 'xxx';

预编译以前的 SQL 语句已经不包含占位符（?）了，彻底已是常量数据了

基于上面的示例，$会致使sql注入,举例以下：

#假如 name = "123' OR 'x' = 'x";
#SQL则变为
SELECT * FROM user WHERE name = '123' OR 'x' = 'x'

总结下，

在使用#时，mybais会先将之解析为占位符（?），而后使用预编译设置参数，可预防注入。

在使用$时，mybatis会直接使用未转义的值进行替换。