Mybatis #{} 与 ${} 区别

动态sql是mybatis的强大特性之一，也是它优于其余 ORM 框架的一个重要缘由。mybatis 在对 sql 语句进行预编译以前，会对 sql 进行动态解析，解析为一个 BoundSql 对象，也是在此处对动态 SQL 进行处理的。

在动态 SQL 解析阶段， #{ } 和 ${ } 会有不一样的表现：

#{ } 解析为一个 JDBC 预编译语句（prepared statement）的参数标记符。

例如，sqlMap 中的 sql 语句

select * from user where name = #{name};

解析为：

select * from user where name = ?;

一个 #{ } 被解析为一个参数占位符 ? 。

 

${ } 仅仅为一个纯碎的 String 替换，在动态 SQL 解析阶段将会进行变量替换

例如，sqlMap 中以下的 sql

select * from user where name = ${name};

当咱们传递的参数为 "wang" 时，上述 sql 的解析为：

select * from user where name = "wang";

预编译以前的 SQL 语句已经不包含变量 name 了。

综上所得， ${ } 的变量的替换阶段是在动态 SQL 解析阶段，而 #{ }的变量的替换是在 DBMS 中。

因此：#{} 能够防止sql注入。

Tips

1. 能使用 #{ } 的地方就用 #{ }

2. 表名做为变量时，必须使用 ${ }