mybatis是如何防止sql注入的？

#会先将sql预编译，然后底层使用PreparedStatement的set方法进行参数设置。

$将传入的数据直接将参数拼接在sql中。

因此，#与$相比，#很大程度的防止sql注入。例如：

select * from user where id = #{id}
最终sql：
select * from user where id = ?

select * from user where id = ${id}
最终sql：
select * from user where id = 1