sql语句中#{}和${}的区别

在SQL语句中，#{}和${}是用于参数传递的两种不同方式，主要用于在动态SQL中替换变量或表达式。

#{}的用法：

1. 安全防护：

   • #{}通常用于预编译语句，SQL语句中的#{}会被自动转义，防止SQL注入攻击。

2. 参数替换：

   • #{}将参数值直接替换到SQL语句中，且使用预处理语句（Prepared Statement）执行，参数值会被安全地处理，通常与PreparedStatement结合使用。

3. 类型安全：

   • #{}可以通过类型处理器将参数值安全地转换为SQL类型，避免了手动拼接字符串时类型不匹配的问题。

4. 示例：

   • 示例用法：SELECT * FROM users WHERE id = #{userId}。在执行时，#{userId}会被具体的userId值替换。

${}的用法：

1. 文本替换：

   • ${}用于字符串替换，类似于字符串模板的功能，不提供类型处理或转义。在SQL语句中，${}会简单地将其内容替换为变量的值，而不进行预处理。

2. 动态SQL：

   • ${}适用于动态SQL的情况，可以将变量或表达式直接嵌入到SQL语句中，SQL在执行前会将${}内的内容替换为实际的值。

3. 示例：

   • 示例用法：SELECT * FROM ${tableName} WHERE id = ${id}。在执行时，${tableName}和${id}会被实际的表名和id值替换。

区别总结：

• 安全性：

  • #{}更安全，防止SQL注入，适合于参数传递。
  • ${}用于动态SQL，需要谨慎防范SQL注入风险。

• 预处理：

  • #{}适用于预处理语句，参数值会被预处理器安全地处理。
  • ${}直接替换文本，不提供预处理功能。

• 类型处理：

  • #{}提供类型处理器，将参数值转换为SQL类型。
  • ${}仅用于文本替换，不处理类型转换。

在实际使用中，根据需求和安全性考虑选择合适的方式。通常建议使用#{}以防止SQL注入问题，除非确实需要${}的文本替换功能。