#{}:相当于JDBC中的PreparedStatement

${}:是输出变量的值

简单的说:

#{}是经过预编译的,是安全的;

${}是未经过预编译的,仅仅是取变量的值,是非安全的,存在SQL注入