xml中写sql语句order by排序不生效的问题

排序字段和顺序由前端传入字段来动态控制，写好sql语句后死活不生效，在workbench中调试是没有问题的，为此扣了半天脑壳，最后还是在百度上找到了答案，下面是不生效的sql语句：

        <if test="order != null and order != ''">
            <choose>
                <when test='is_desc != null and is_desc == "1"'>
                    order by #{order} desc
                </when>
                <otherwise>
                    order by #{order}
                </otherwise>
            </choose>
        </if>

传入的参数我用的是#{}去调取引用，问题就出在这里，在判断条件和分页中用#{}使用没有任何问题，但在order by排序中要用${}，否则就会不生效。下面是正确的语句：

        <if test="order != null and order != ''">
            <choose>
                <when test='is_desc != null and is_desc == "1"'>
                    order by ${order} desc
                </when>
                <otherwise>
                    order by ${order}
                </otherwise>
            </choose>
        </if>

最后，说说两种方式的区别：

1、#{}引用的值会进行预编译，编译后显示为“？”，sql的输入只是在编译的时候有用，在预编译完成后，#{}的值后期不会参与sql语句的生成，所以对于sql来说，这是一种安全的方式，有效防止sql的恶意注入；
2、${}引用的值不会进行预编译，直接和sql拼接在一起，这就可以通过一些写法去绕过查表得检索字段，从而发生sql恶意注入的情况。

所以#{}比${}要安全，在能使用#{}的地方尽量使用#{}，不过上面order by排序还是要使用${}才能生效哦。