在MyBatis中，`#{}`和`${}`是两种不同的占位符语法，用于在SQL语句中引用参数或变量。它们的主要区别在于参数的解析方式和安全性：
1. `#{}`占位符（预编译）：`#{}`占位符将会把传入的参数进行预编译处理，将参数以安全的方式组装到SQL语句中。这种方式会将传入的参数自动进行类型转换和防止SQL注入攻击处理。例如：
```xml
SELECT * FROM user WHERE id = #{userId}
```
在上述示例中，`#{userId}`表示将参数`userId`以预编译的方式插入到SQL语句中，MyBatis会自动处理参数的类型转换和安全性，避免了SQL注入的风险。
2. `${}`占位符（字符串替换）：`${}`占位符将会把传入的参数直接转换为字符串并替换到SQL语句中。这种方式将参数作为字符串直接拼接到SQL语句中，不提供类型转换和防止SQL注入攻击的保护。例如：
```xml
SELECT * FROM user WHERE id = ${userId}
```
在上述示例中，`${userId}`表示将参数`userId`直接拼接到SQL语句中作为字符串，如果不对输入进行适当的处理，可能会导致SQL注入的风险。
总结来说，使用`#{}`占位符可以提供更好的安全性和可靠性，能够防止SQL注入攻击，并对参数进行自动的类型转换。而`${}`占位符则是进行简单的字符串替换，不提供类型转换和SQL注入防护功能。因此，应尽量使用`#{}`占位符来编写安全的SQL语句，避免使用`${}`占位符的方式，以防止潜在的安全风险。