本文轉載自：

對於ibaits引數引用可以使用#和$兩種寫法，其中#寫法會採用預編譯方式，將轉義交給了資料庫，不會出現注入問題；如果採用$寫法，則相當於拼接字串，會出現注入問題。

例如，如果屬性值為“' or '1'='1 ”，採用#寫法沒有問題，採用$寫法就會有問題。

對於like語句，難免要使用$寫法，

 1. 對於Oracle可以通過'%'||'#param#'||'%'避免；

 2. 對於MySQL可以通過CONCAT('%',#param#,'%')避免；

 3. MSSQL中通過'%'+#param#+'% 。 

如下3種SQL語句：

    mysql: select * from t_user where name like concat('%',#name #,'%')  
     
    oracle: select * from t_user where name like '%'||#name #||'%' 
     
    SQL Server:select * from t_user where name like '%'+#name #+'%   
 

 #與$區別:

#xxx# 代表xxx是屬性值,map裡面的key或者是你的pojo物件裡面的屬性, ibatis會自動在它的外面加上引號,表現在sql語句是這樣的 where xxx = 'xxx' ;

$xxx$ 則是把xxx作為字串拼接到你的sql語句中, 比如 order by topicId , 語句這樣寫 ... order by #xxx# ibatis 就會把他翻譯成 order by 'topicId' （這樣就會報錯） 語句這樣寫 ... order by $xxx$ ibatis 就會把他翻譯成 order by topicId

總結：

        在j2ee專案中使用到ibatis（現為mybatis），為防止SQL注入，在編寫sqlmap檔案時，對於引數值都用 #  #