Question

mybatis 中 #{} 和 ${} 的区别及应用场景

Answer 1

动态 sql 是 mybatis 的主要特性之一，在 mapper 中定义的参数传到 xml 中之后，在查询之前 mybatis 会对其进行动态解析。

mybatis 为我们提供了两种支持动态 sql 的语法：#{} 以及 ${} 。

如： #{} ： 根据参数的 类型 进行处理，比如传入String类型，则会为参数加上双引号。#{} 传参在进行SQL预编译时，会把参数部分用一个占位符 ? 代替，这样可以防止 SQL注入。

如： ${} ： 将参数取出不做任何处理，直接放入语句中，就是简单的字符串替换，并且该参数会参加SQL的预编译，需要手动过滤参数防止 SQL注入。

因此 mybatis 中优先使用 #{}；当需要动态传入 表名或列名 时，再考虑使用 ${} 。

正确的写法应该是使用 ${order_by}，这样解析后就是一个列名，然后才能对数据进行排序，已达到业务需求。