mybatis3的使用者指南里關於字串替換的解釋是：

字串替換
  預設情況下，使用#{}格式的語法會導致 MyBatis 建立預處理語句屬性並以它為背景設
置安全的值（比如?）。這樣做很安全，很迅速也是首選做法，有時你只是想直接在 SQL 語
句中插入一個不改變的字串。比如，像 ORDER BY，你可以這樣來使用：
  ORDER BY ${columnName}
  這裡 MyBatis 不會修改或轉義字串。
  重要：接受從使用者輸出的內容並提供給語句中不變的字串，這樣做是不安全的。這會
導致潛在的 SQL 注入攻擊，因此你不應該允許使用者輸入這些欄位，或者通常自行轉義並檢
查。

我在使用的Maper xml對映時

  <select id="selectCartIdBymobileNo" parameterType="String" resultType="java.util.HashMap">
  SELECT CAR.MOBILE_NO,CAR.WORK_RECORD_ID FROM T_CAR_SOURE_INFO CAR WHERE CAR.MOBILE_NO IN (${mobileNos})
  </select>

使用Java呼叫如下：

    String mobileNos = "'1303423****',''1303413****'";

    SqlSession session = SqlMap.getSqlSessionFactory().openSession();
  try{
  List<Map<String,Object>> resultList =  session.selectList("selectCartIdBymobileNo", mobileNos);

   }finally{

     session.close();

   }

執行時報錯   mybatis There is no getter for property named 'mobileNos' in 'class java.lang.String'

將 $ 換成 # 雖然不報錯了，但是查詢不出資料。

最後把 改成 ${value} 居然解決了這個問題。

現在分析認為，預設是使用#{} 這個沒什麼說的了，但是使用${} 時，因為框架支援了OGNL 所以會按照OGNL解析此語句，使用value為什麼能夠解決這個問題，本人現在還不明白，只是在網上搜了下，看到有人這樣說。如有明白的，麻煩告知。