Mybatis中的参数占位符：${...} 、#{...}的区别

### MyBatis 中 `#` 和 `$` 占位符的区别 #### 1. 工作原理差异 在 MyBatis 中，`#` 和 `$` 都是用来在 SQL 语句中插入参数的占位符，但两者的工作原理不同。 对于 `#` 占位符而言，它会将传入的数据都当成字符串来处理，并自动加上单引号。这种方式可以有效防止 SQL 注入攻击[^1]。例如： ```sql SELECT * FROM users WHERE id = #{userId} ``` 而 `$` 占位符则不会对数据做任何特殊处理，而是直接将其作为原生字符串拼接到 SQL 语句中。这意味着如果输入未经严格校验，则可能存在安全风险[^3]。比如： ```sql SELECT * FROM users WHERE username LIKE &#39;%${username}%&#39; ``` #### 2. 应用场景对比 由于上述特性上的差别，这两种占位符适用于不同的场合。 当需要确保安全性并希望让 JDBC 自动处理类型转换时，应该优先考虑使用 `#` 占位符。这通常是在构建查询条件、更新操作等情况下非常适用的选择[^2]。 相反，若确实有必要动态地改变表名或列名等情况（尽管这种情况较为少见），那么此时可以选择使用 `$` 来实现更灵活的功能需求[^4]。不过需要注意的是，在这种情形下务必谨慎对待用户输入的内容，以免引发潜在的安全隐患。 #### 3. 实际应用案例展示 下面通过具体的例子进一步说明两者的区别及其应用场景： ##### 使用 `#` 的情况 假设有一个简单的查询请求，目的是获取指定 ID 的用户信息： ```xml <select id="getUserById" parameterType="int" resultType="User"> SELECT * FROM users WHERE id = #{id}; </select> ``` 这里采用 `#` 方式传递参数，既简单又安全可靠。 ##### 使用 `$` 的情况 再来看另一个复杂一点的例子——分页查询功能实现： ```xml <select id="getUsersByPage" parameterType="map" resultType="User"> SELECT * FROM users LIMIT ${offset},${limit}; </select> ``` 在这个场景里选择了 `${}` 形式的变量替换是因为 MySQL 的 `LIMIT` 子句不允许使用预编译参数形式(`?`)来进行偏移量和数量设置；因此只能借助于 `${}` 进行动态注入。