Mybatis中${ }与#{ }的区别

今天看BBS，看到有关于面试问题的一个帖子，里面提到了关于Mybatis中的#{}和${}的区别，这里也简单总结记录下。

#{ }：预编译处理，字符串替换，进行类型匹配

Mybatis处理#{}时，会将SQL语句中的变量#{}替换成？号，调用PreparedStatement的set方法来赋值，有效的防止SQL注入。
场景：添加、修改、带条件查询(where)
e.g：select * from user where userId = #{userId}

${ }：字符串拼接，不进行类型匹配

Mybatis处理${}时，将${}作为非变量的值。
场景：对应SQL语句中的非变量部分，一般传入数据库对象常量,group by、order by、表名、字段名。
e.g：select count(*) from user group by ${param}

预编译机制：

预编译是提前对SQL语句进行预编译，而其后注入的参数将不会再进行SQL编译。
SQL注入是发生在编译的过程中，因为恶意注入了某些特殊字符，最后被编译成了恶意的执行操作。
因此，预编译机制则可以很好的防止SQL注入。

对于#{ }、${ }，分*景使用即可。