在预编译中的处理是不一样的。#{} 在预处理时，会把参数部分用一个占位符 ? 代替，变成如下的 sql 语句：select * from user where name = ?;
而 ${} 则只是简单的字符串替换，在动态解析阶段，该 sql 语句会被解析成：select * from user where name = 'zhangsan';
因此，优先使用 #{}。因为 ${} 会导致 sql 注入的问题！
表名、order by的排序字段作为变量时，使用${}。
1、#{}
解析为一个JDBC预编译语句（prepared statement）的参数标记符，把参数部分用占位符？代替。动态解析为：
select * from t_user where username = ？ ;
而传入的参数将会经过PreparedStatement方法的强制类型检查和安全检查等处理，最后作为一个合法的字符串传入。
2、${}
这种方式只会做简单的字符串替换，在动态SQL解析阶段将会进行变量替换，假如传递的参数为Alice，最终处理结果如下：
select * from t_user where username = 'Alice' ;
这样在预编译之前的sql语句已经不包含变量了，因此可以看出${} 变量的替换阶段是在动态SQL解析阶段。