MyBatis之#{} and ${}

select * from info where name =  #{name}
比如传递 博客园，得到的结果就是如下
select * from info where name = '博客园'

select * from info where name = ${name]
比如传递  博客园  得到的结果就是如下
select * from info where name = 博客园

比如我们在做用户登录的场景
使用#{}
select * from user where userCode = #{userCode} and userPwd = #{userPwd}
前台传递：userCode = 123     userPwd = 123 or 1 = 1
后台解析后，MyBatis首先会对SQL语句的参数用 ‘？’做预编译处理
select * from user where userCode = ? and  userPwd = ?;
最终效果：
select * from user where userCode = '123' and userPwd = '123 or 1 = 1';
这样就可以有效的防止了sql的注入效果

使用${}
select * from user where userCode = ${userCode} and userPwd = ${userPwd}
前台传递：userCode = 123     userPwd = 123 or 1 = 1
后台解析后，MyBatis会直接把值传递给sql，不做任何的处理！
最终效果：
select * from user where userCode = 123 and userPwd = 123 or 1 = 1;
不仅可能导致语法错误！而且更严重的会对导致用户恶意注入sql获取信息，或者做其它恶意操作！！非常危险！

比如我们在直接想用SQL语句插入一条原封不动的参数的时候，如order by我们的${}就派上用场了（）
select * from info order by ${name}