刚接触认为hibernate的通配符只是提供了另一种组合sql的方式.
接触的久了,熟悉之后,理解了通配符的好处
1,避免sql注入
hibernate的通配符传参可以避免参数破坏原本SQL的结构,阻止了SQL注入的发生
2,结构清晰
hibernate采用通配符使SQL和参数分离,使得结构更加清晰合理,修改更加方便.
所以,并不是使用了hibernate就避免了sql注入,而是合理的使用hibernate特性,才能保证避免sql注入.
原文：http://www.cnblogs.com/qinggege/p/5216178.html