在MyBatis中，`#{}`和${}都是用于實現動態SQL的占位符，但它們在使用場景和安全性上有明顯的區別：

1. 用途區別：

   • #{}主要用于傳遞接口傳輸過來的具體數據，如參數值，它可以防止SQL注入，因為MyBatis會對#{}中的參數進行預編譯處理，將參數值安全地傳遞給數據庫，并且自動轉義特殊字符，避免SQL注入攻擊。這種方式適用于大多數情況，尤其是當參數值來自用戶輸入或不可信數據時。例如：??SELECT * FROM users WHERE id = #{userId}

         "#{}"：MyBatis會使用預編譯的SQL語句，并為每個參數，設置相應的占位符（通常是"?"），然后，當執行SQL時，MyBatis會使用 "PreparedStatement 的 setXXX()方法"來設置參數值，這種方式，可以有效地防止SQL注入攻擊，因為，參數值不會被解析為SQL的一部分。

   • ${}則一般用于傳入數據庫對象，例如列表和表名，它不會對參數進行預編譯處理，而是直接將參數拼接到了原始的SQL里面。這種方式可以適合應用在一些動態SQL場景中，比如動態傳遞表名、動態設置排序字段等，但由于不會對參數進行特殊處理，存在SQL注入的風險。

     SELECT * FROM users WHERE id = ${userId} 
     相當于 "SELECT * FROM users WHERE id =" +?userId

2. 安全性：

   • #{}由于具有更高的安全性，能夠防止SQL注入，因此在能夠使用#{}的地方應盡量避免使用${}。使用#{}產生的預編譯SQL語句可以提高數據庫性能，因為數據庫可以緩存相同的預編譯語句。
   • ${}由于直接拼接原始SQL語句，無法防止SQL注入的問題，因此在需要動態參數的場景中應謹慎使用，確保傳入的數據是安全的。

3. 總結：

   • 在實際應用中，應優先考慮使用#{}占位符來傳遞參數，以避免潛在的安全風險。只有在確實需要動態拼接原始SQL語句的情況下，才考慮使用${}占位符，并確保傳入的數據經過適當的驗證和過濾。