iBATIS的綁定變數實現方式

iBATIS的綁定變數有兩種方式，#value#方式和$value$方式 #value#方式：
例如語句SELECT * FROM emp WHERE emp_no = #value#
實際執行時，iBATIS會使用prepareStatement方式，執行語句SELECT * FROM emp WHERE emp_no = ?,並將對應的參數值設定為value。這種方式下操作符是寫在SQL Map中的，可以避免SQL注入的風險，非常安全。 $value$方式：
例如語句SELECT * FROM emp WHERE $value$
這種方式常用於構建動態SQL語句，如在本例中，假設value值為emp_no in (1,2,3)，則實際執行時，iBATIS會執行語句SELECT * FROM emp WHERE emp_no in (1,2,3)。這種方式下操作符是傳入的，存在SQL注入的風險，不安全。

實際使用中，對於根據條件查詢的方式，推薦在sqlMapConfig中使用動態語句的方式實現，如下所示：
<select id="searchUser" resultClass="user" parameterClass="map">
    select id,userName,score,regDate,loginTime
    from demo_user where 1=1
    <dynamic>
     <isNotNull property="username" prepend="and">
      userName like #username#
     </isNotNull>
     <isNotNull property="fromid" prepend="and">
      id <![CDATA[>=]]> #fromid#
     </isNotNull>
     <isNotNull property="toid" prepend="and">
      id <![CDATA[<=]]> #toid#
     </isNotNull>
    </dynamic>
  </select>
相對$value$方式而言，這種方式比較麻煩，但是從效率和安全的角度考慮是合適的。