Mybatis #和$的区别

#会进行预编译，其实现是经过JDBC的PreparedStatement类，mybatis启用了预编译功能，在sql执行前，会先将上面的sql发送给数据库进行编译，执行时，直接使用编译好的sql，替换占位符“？”就能够了。由于sql注入只能对编译过程起做用，因此这样的方式就很好地避免了sql注入的问题，在mybatis中，”${xxx}”这样格式的参数会直接参与sql编译，从而不能避免注入攻击。但

>>阅读原文<<