前言：
#{} 和 ${} 的区别是 MyBatis 中一个常见的面试题，#{} 和 ${} 是MyBatis 中获取参数的两种方式，但我们在项目中大多数使用的都是 #{} 来获取参数，那么它们两个有什么区别呢？
区别
一. #{} 采用预编译 SQL，${} 采用即时 SQL
现在我们通过 MyBatis 框架的注解方法查询数据库
@Select("select username, `password`, age, gender, phone from userinfo where id=#{id}")
UserInfo queryById(Integer id);
得到的 MyBatis 日志如下
我们可以发现，输出的 SQL 语句中，参数并没有拼接到后面，而是用占位符 ？来代替了，我们将这种 SQL 称为预编译 SQL
现在我们将 #{} 换成 ${}
@Select("select username, `password`, age, gender, phone from userinfo where id=${id}")
UserInfo queryById(Integer id);再次获取 MyBatis 日志
我们可以看到，这次输出的 SQL 语句，参数直接拼接到了后面，我们将这种 SQL 称为即时 SQL
所以 #{} 采用预编译 SQL ，${} 采用即时 SQL
预编译 SQL，即时 SQL
1.效率更高
原因：
绝⼤多数情况下,某⼀条 SQL 语句可能会被反复调⽤执⾏,或者每次执⾏的时候只有个别的值不同，如果每次都需要 经过语法解析, SQL优化、SQL编译等，则效率就明显不⾏了
通过 #{} 获取参数是预编译 SQL ，会将参数位置用占位符代替，然后直接进行解析，优化，编译，编译⼀次之后会将编译后的 SQL 语句缓存起来，后⾯再次执⾏这条语句时，不会再次编译 (只是输⼊的参数不同), 省去了解析优化等过程, 以此来提⾼效率，相当于就是一个固定的模板，每次往模板里放参数
而通过 ${} 获取参数是即时 SQL ，会将参数拼接到 SQL 语句中，然后再将新构成的 SQL 语句发送给数据库进行解析，优化，编译，当传送下一个参数时，依然会执行相同的流程，所以每次传参以后构造新的 SQL 语句都会执行一遍解析，优化，编译的流程，导致效率较低
2.更安全(防⽌SQL注⼊)
原因：
SQL注⼊：是通过操作输⼊的数据来修改事先定义好的SQL语句，以达到执⾏代码对服务器进⾏攻击的⽅法。
我们上面提到通过 #{} 获取参数是预编译 SQL，相当于就是一个固定的模板，每次往模板里放参数，我们以下面的 SQL 语句为例：
select username, age, gender from userinfo where username=#{username};上述获取参数是通过 #{} 获取，是预编译 SQL ，所以在还未传入参数的时候，SQL 语句就已经进行解析，优化，编译变成模板了，因此，无论参数输入的是什么内容，都会认为是 username 的值，在 username 这个列中查找对应的数据，因此 SQL 语句的功能不会改变，所以不会存在 SQL 注入
但我们如下所示，通过 ${} 获取参数的话，就是直接把参数的内容进行拼接产生新的 SQL 语句
select username, age, gender from userinfo where username='${username}';假设我们传的参数为 'or 1='1 通过拼接形成的 SQL 语句为
select username, age, gender from userinfo where username=''or 1='1'SQL 语句改为上述形式后，黑客便能获得额外的数据，这就是 SQL 注入
二. #{} 会给String类型的参数添加引号，${} 不会
接下来我们再看String类型的参数
@Select("select username, `password`, age, gender, phone from userinfo where username=#{username}")
UserInfo queryByName(String username);得到的 MyBatis 日志如下
此时我们发送的 SQL 语句成功执行，所以 Mysql 执行的 SQL 语句为：
select username, `password`, age, gender, phone from userinfo where username=‘zhangsan’;可见，通过 #{} 获取参数时，如果参数的类型是 String ，就会在放到 SQL 语句中时，自动添加引号
现在我们将 #{} 换成 ${}
@Select("select username, `password`, age, gender, phone from userinfo where username=${username}")
UserInfo queryByName(String username);得到的 MyBatis 日志如下
通过日志我们可以看出，SQL 语句执行失败，因为传入的参数 “zhangsan” 拼接到 SQL 语句中没有加上引号，导致 SQL 语句的语义错误，把 “zhangsan” 认为是一个字段名
现在我们对上面的代码进行一点修改，对参数添加单引号
@Select("select username, `password`, age, gender, phone from userinfo where username='${username}'")
UserInfo queryByName(String username); 再次运行得到的 MyBatis 日志如下 
此时我们的 SQL 语句就正确并成功执行了
使用建议
我们尽量使用 #{} 获取参数，如果实在需要 ${} 符号获取，就一定要注意 SQL 注入的问题
