为什么#{}可以有效的防止SQL注入

在数据库操作中都会有sql语句，而这个sql语句是 String类型的，如果用  +  来拼接，表示的是直接操作这个String 类型的字符串，这是改变了sql的具体内容了
如果用#{id}，表示的是操作字改变里面字段的参数值。

用+拼接的： "select * from user where code="+code+ " and password="+password;
         那么code = “1233 or code=456”  password="2123":
         结果：  select * from user where code='123' or  code='456' and password=‘2123’那么这个sql的规则就乱了
用#操作的 select * from user where code=#{code} and password=#{password};
        那么code = “1233 or code=456”  password="2123":
         结果：  select * from user where code=' 1233 or code=456 ' and password='2123'那么这个sql的规则还是老样子
总节就是，一个是你自己写规则定义sql  ，一个是定义好sql 你去填写值

----------------------------------------------------------------------------------------------------------------------------------------------------------------------------

                                                                            此文只用于个人反思问题记录