sql中 #{} 和 ${}

在预编译中的处理是不一样的。#{} 在预处理时，会把参数部分用一个占位符 ? 代替，变成如下的 sql 语句：select * from user where name = ?;

而 ${} 则只是简单的字符串替换，在动态解析阶段，该 sql 语句会被解析成：select * from user where name = 'zhangsan';

因此，优先使用 #{}。因为 ${} 会导致 sql 注入的问题！

表名、order by的排序字段作为变量时，使用${}。

1、#{}

解析为一个JDBC预编译语句（prepared statement）的参数标记符，把参数部分用占位符？代替。动态解析为：

select * from t_user where username = ？ ;

而传入的参数将会经过PreparedStatement方法的强制类型检查和安全检查等处理，最后作为一个合法的字符串传入。

2、${}

这种方式只会做简单的字符串替换，在动态SQL解析阶段将会进行变量替换，假如传递的参数为Alice，最终处理结果如下：

select * from t_user where username = 'Alice' ;

这样在预编译之前的sql语句已经不包含变量了，因此可以看出${} 变量的替换阶段是在动态SQL解析阶段。

来源：https://www.cnblogs.com/jinyw/p/12389768.html