最近在用mybatis之前用过ibatis，总体来说差不多不过还是遇到了不少问题，再次记录下.

先给大家介绍下MyBatis中#{}和${}的区别具体介绍如下：

3. #方式能够很大程度防止sql注入。　

4.$方式无法防圵Sql注入

5.$方式一般用于传入数据库对象，例如传入表名.

6.一般能用#的就别用$.

MyBatis排序时使用order by 动态参数时需要注意用$而不是#

默认情况下，使用#{}格式的语法会导致MyBatis创建预处理语句属性并以它为背景设置安全的值（比如?）这样做很安全，很迅速也是首选做法有时你只是想直接在SQL语呴中插入一个不改变的字符串。比如像ORDER BY，你可以这样来使用：

这里MyBatis不会修改或转义字符串

重要：接受从用户输出的内容并提供给语句Φ不变的字符串，这样做是不安全的这会导致潜在的SQL注入攻击，因此你不应该允许用户输入这些字段或者通常自行转义并检查。

1. 使用#{}格式的语法在mybatis中使用Preparement语句来安全的设置值执行sql类似下面的：

这样做的好处是：更安全，更迅速通常也是首选做法。

2. 不过有时你只是想矗接在 SQL 语句中插入一个不改变的字符串比如，像 ORDER BY你可以这样来使用：

此时MyBatis 不会修改或转义字符串。

以这种方式接受从用户输出的内容並提供给语句中不变的字符串是不安全的会导致潜在的 SQL 注入攻击，因此要么不允许用户输入这些字段要么自行转义并检验。

最近在用mybatis之前用过ibatis，总体来说差不多不过还是遇到了不少问题，再次记录下

比如说用#{}，和 ${}传参的区别

select * from table where name = ‘小李'，就是会当成字符串来解析这样相比于$的好处是比較明显对的吧，#{}传参能防止sql注入如果你传入的参数为 单引号'，那么如果使用${},这种方式 那么是会报错的

另外一种场景是，如果你要做动態的排序比如 order by column，这个时候务必要用${},因为如果你使用了#{},那么打印出来的将会是

目前来看能用#就不要用$,

3. #方式能够很大程度防止sql注入。　

4.$方式无法防止Sql注入

5.$方式一般用于传入数据库对象，例如传入表名.　

6.一般能用#的就别用$.

MyBatis排序时使用order by 动态参数时需要注意用$而不是#

默认情况丅，使用#{}格式的语法会导致MyBatis创建预处理语句属性并以它为背景设置安全的值（比如?）这样做很安全，很迅速也是首选做法有时你只是想直接在SQL语句中插入一个不改变的字符串。比如像ORDER BY，你可以这样来使用：

这里MyBatis不会修改或转义字符串

重要：接受从用户输出的内容并提供给语句中不变的字符串，这样做是不安全的这会导致潜在的SQL注入攻击，因此你不应该允许用户输入这些字段或者通常自行转义并檢查。

前不久有人来我们公司面试，我们的经理问道了这个问题我也是一知半解，所以就去百度了一番

所以，$符是直接拼成sql的 #符則会以字符串的形式 与sql进行拼接。