mybatis中sql语句中的#和$

一直写mybatis的sql语句，当时想只要实现它的功能就行了，也没过多的去理解；

首先我们大家都知道#和$都是用来传值的，但他们之间是怎么区分的呢？什么时候用哪个好呢？

1、#将传入的数据都当成字符串，执行sql时会对传入的数据自动加上引号，如：where time like concat (#{time},'%')，如果传入的值为2016-10-1，解析为sql时则为where time like '2016-10-1%'

2、$将传入的数据直接显示在生成的sql中，如：limit ${page.startIndex},${page.pageSize}

3、#能够很大程度上防止sql注入，$则无法防止sql注入

4、$一般用于传入数据库对象

5、mybatis排序时使用order by动态参数时使用$而不是#

6、一般能用#就不使用$，因为默认情况下，使用#{}方式的语法会导致mybatis创建预处理语句属性并以它为背景设置安全的值，mybatis不会修改和转义字符串，这样很安全