Mybatis #和$的區別

#會進行預編譯，其實現是經過JDBC的PreparedStatement類，mybatis啓用了預編譯功能，在sql執行前，會先將上面的sql發送給數據庫進行編譯，執行時，直接使用編譯好的sql，替換佔位符「？」就能夠了。由於sql注入只能對編譯過程起做用，因此這樣的方式就很好地避免了sql注入的問題，在mybatis中，」${xxx}」這樣格式的參數會直接參與sql編譯，從而不能避免注入攻擊。但

>>阅读原文<<