Mybatis 的Mapper.xml語句中parameterType向SQL語句傳參有兩種方式：#{}和${}
我們經(jīng)常使用的是#{},一般解說是因為這種方式可以防止SQL注入蟋滴，簡單的說#{}這種方式SQL語句是經(jīng)過預編譯的钾挟，它是把#{}中間的參數(shù)轉義成字符串夯到，舉個例子：
select * from student where student_name = #{name}
預編譯后,會動態(tài)解析成一個參數(shù)標記符?：
select * from student where student_name = ?
select * from student where student_name = #{name}
而使用${}在動態(tài)解析時候，會傳入?yún)?shù)字符串
select * from student where student_name = 'lyrics'
總結：
#{} 這種取值是編譯好SQL語句再取值---->先編譯后取值
${} 這種是取值以后再去編譯SQL語句---->先取值后編譯
#{}方式能夠很大程度防止sql注入屡久。
$方式無法防止Sql注入。
$方式一般用于傳入數(shù)據(jù)庫對象爱榔，例如傳入表名.
一般能用#的就別用$.
舉個activiti工作流的例子：
select * from ${prefix}ACT_HI_PROCINST where PROC_INST_ID_ = #{processInstanceId}
