在mybatis接口mapper文件中引用傳入的參數是通過#{param}或者${param}來使用的。
#：會進行預編譯，而且進行類型匹配
$:不進行數據類型匹配
#：用于變量替換
$:實質上是字符串拼接
（1）變量的傳遞，必須使用#，使用#{}就等于使用了PrepareStatement這種占位符的形式,提高效率?？梢苑乐箂ql注入等等問題。#方式一般用于傳入添加，修改的值或查詢，刪除的where條件 id值
select * from t_user where name = #{param}
(2)$只是只是簡單的字符串拼接，要特別小心sql注入問題，對應非變量部分，只能用$。$方式一般用于傳入數據庫對象，比如這種group by 字段 ,order by 字段，表名，字段名等沒法使用占位符的就需要使用${}。
注:? DCQ個人理解，因為這些字段如果使用占位符，就會破壞SQL語句的完整結構，沒法預編譯。
select count(*), from t_user group by ${param}
（3）能同時使用#和$的時候，最好用#。
SQL注入就是將原本的SQL語句的邏輯結構改變，使得SQL語句的執行結果和原本開發者的意圖不一樣.
比如：使用Statement語句執行者，執行sql，會造成sql注入的問題，
String sql = "select * from tb_name where name= '"+varname+"' and passwd='"+varpasswd+"'";
如果我們把[' or '1' = '1]作為varpasswd傳入進來，執行查詢的時候 sql會變成，
String sql = "select * from tb_name where name= '' and passwd = '' or '1' = '1',1=1是永遠成立的，所以，前面的條件已經不起作用，
我們使用預編譯語句執行者就可以避免這個問題，prepareStatement將sql預編譯，傳參數的時候，不會改變sql語句結構，就可以避免注入。
