Question

mybatis在传参时，为什么#能够有效的防止sql注入

Answer 1

在数据库操作中都会有sql语句，而这个sql语句是 String类型的，如果用 + 来拼接，表示的是直接操作这个String 类型的字符串，这是改变了sql的具体内容了
如果用#{id}，表示的是操作字改变里面字段的参数值。

用+拼接的： "select * from user where code="+code+ " and password="+password;
那么code = “1233 or code=456” password="2123":
结果： select * from user where code='123' or code='456' and password=‘2123’那么这个sql的规则就乱了
用#操作的 select * from user where code=#{code} and password=#{password};
那么code = “1233 or code=456” password="2123":
结果： select * from user where code=' 1233 or code=456 ' and password='2123'那么这个sql的规则还是老样子
总节就是，一个是你自己写规则定义sql ，一个是定义好sql 你去填写值