Mybatis中的#{}和${}的区别

动态解析：mybatis将mapper中的sql解析为预编译可以认识的预编译sql；

预编译：PreparedStatement对sql进行编译，变为DBMS可以直接执行的sql；

#{}是占位符、防止sql注入，mybatis在动态解析的时候会将#{} 替换为? 然后用PreparedStatement的set方法设置值，该set方法会对传进来的参数进行转义，将一些注入特殊字符和注入的sql进行过滤

解析前：select * from user_info where user_no = #{} and user_name = #{}
解析后：select * from user_info where user_no = ? and user_name = ?
1
2

&{}是sql拼接符,仅仅为一个string的替换，在动态sql解析的时候会进行变量替换。

解析前：select * from user_info where user_no = ${}
解析后：select * from user_info where user_no = 111 and user_name = 123
如果mapper中传入的参数user_no = ' 1 Or true --',就会查所有用户信息；要注意传递的参数'*'，并不代表传递的就是带单引号的，只是为了让你能看清这是个字符串，所以才会加上单引号，但其实其本身并没有单引号，除非是'\'*\''
1
2
3

综上所述：${} 变量替换是在动态sql解析阶段，而#{}变量替换是在DBMS中。