Java MyBatis 防注入：#{} 如何防止 SQL 注入攻击

Java 中使用 #{} 可以防止 SQL 注入的原因是因为 #{} 会将传入的参数进行预编译处理，将参数值和 SQL 语句分离开来，从而避免了 SQL 注入攻击。

在使用 #{} 时，MyBatis 会将 SQL 语句中的占位符 #{} 替换成 '?', 然后将参数值作为 PreparedStatement 的参数传递给数据库。PreparedStatement 会对参数值进行类型检查和转换，并在执行 SQL 语句之前对参数值进行预编译处理，从而避免了 SQL 注入攻击。

相比之下，使用 ${} 会将传入的参数直接拼接到 SQL 语句中，容易受到 SQL 注入攻击。因此，建议在使用 MyBatis 时，尽量使用 #{} 来传递参数。