mybatis sql语句安全

使用#{}语法,主要是mybatis会有一个预编译产生PreparedStatement语句中，并且安全的设置PreparedStatement参数，这个过程中MyBatis会进行必要的安全检查和转义,可以防止sql注入;
使用${}语法不能防止sql注入,主要使用是在一些不能预编译的地方.