MyBatis #{} 與 ${} 關鍵差異：預編譯參數 vs 字符串替換，一個 Bug 引發的深度思考

核心結論

• #{param} → **預編譯參數標記**（?），防 SQL 注入，類型安全
• ${param} → **純字符串替換**，動態 SQL 解析階段直接拼接，不防注入

實戰 Bug 還原

場景

前端傳入多選參數 ruleName=A,B,C，業務層處理為 'A','B','C' 字符串，Mapper 中需用 IN 查詢。

錯誤寫法

<if test="ruleName != null and ruleName != ''">
    AND a.rule_name IN (#{ruleName})
</if>

生成 SQL：

... AND a.rule_name IN (?) ...

參數綁定：'A','B','C' 作為單個字符串綁定到唯一佔位符，導致查詢無結果或報錯。

正確寫法

<if test="ruleName != null and ruleName != ''">
    AND a.rule_name IN (${ruleName})
</if>

生成 SQL：

... AND a.rule_name IN ('A','B','C') ...

字符串直接內嵌到 SQL，IN 子句語法正確。

底層機制對比

最佳實踐原則

1. 默認用 #{}，90%+ 場景適用
2. 只在無法用佔位符時（表名、列名、IN 列表、ORDER BY 欄位）用 ${}
3. 使用 ${} 時必須嚴格驗證/白名單過濾輸入，防注入
4. IN 列表優選：MyBatis foreach 標籤 + #{}，兼具安全與動態

foreach 替代方案（推薦）

<foreach collection="nameList" item="name" open="(" separator="," close=")">
    #{name}
</foreach>

生成 IN (?,?,?)，參數逐個綁定，完全安全。