mybatis在处理#{}时，会将sql中的#{}替换为？，调用PreparedStatement来赋值，可以有效防止SQL注入。 在处理${}时，就是简单将${}替换为变量的值 ，调用Statement来赋值。