Mybatis mxl配置文件取值方式有两种 分别是#{}和${}。
#{}是预编译的，采用占位符的方式。效率较高，可以防止sql注入。通常都是采用#{}这种方式。 select * from h_student where id=#{id}/？
${} 是直接字符拼接的方法，存在sql注入风险。通常用来传入固定的数据库对象名，比如order by 等 select * from h_student order by ${id}
原文：https://www.cnblogs.com/xie-qi/p/12892251.html