如何在mybatis框架中正确使用#{}和${}占位符？

在MyBatis框架中，`#{}`和`${}`都是用来在SQL语句中插入变量值的占位符，但它们的使用方式和功能有所不同。

1. `#{}`：这种方式被称为预编译处理，它会将SQL中的参数部分用占位符代替，并且MyBatis会使用PreparedStatement来预编译SQL语句，然后将参数传入。这种方式可以有效防止SQL注入攻击，因为参数值是在SQL语句执行前就已经预编译好了的。此外，`#{}`还可以对参数进行类型转换和类型处理器的应用。例如，如果你有一个名为`id`的参数，你可以这样使用：

   <select id="selectUser" resultType="User">
     SELECT * FROM users WHERE id = #{id}
   </select>

2. `${}`：这种方式被称为字符串替换，它会直接将参数值拼接在SQL语句中，不会进行预编译处理。这种方式在某些特定的场景下非常有用，比如动态地修改表名或者列名。但是，因为它不进行预编译，所以存在SQL注入的风险。使用时需要格外小心，确保传入的参数是安全的。例如，如果你需要动态地传入一个表名，可以这样使用：

   <select id="selectUserFromTable" resultType="User">
     SELECT * FROM ${tableName}
   </select>

在上面的例子中，`${tableName}`将会被直接替换为传入的表名参数值，如果表名是可控的，就容易引起SQL注入的风险。

使用这两种占位符时需要根据实际需求选择合适的方式，以保证应用的安全性和灵活性。