两者本质区别
${params.id}：MyBatis 直接字符串替换，把值原样拼进 SQL。相当于字符串拼接。#{params.id}：MyBatis 用 PreparedStatement 预编译占位符?，值由驱动单独传参，和 SQL 语句分离。
数字类型在数据库里会被自动转换，所以 #{} 对数字完全适用——数字和字符串都应该用 #{}。
为什么 ${} 危险（即使是数字列）
以你原来 where id =${params.id} 为例：
-- 正常：id = 100 delete from sys_app_permission where id =100-- 攻击：id 传 "1 or 1=1"（虽然是 GET 参数，攻击者可以直接拼） delete from sys_app_permission where id =1 or 1=1 -- 全表删光-- 攻击：id 传 "1; drop table xxx" delete from sys_app_permission where id =1; drop table xxx
攻击者传的是字符串，不是数字。${} 不知道、也不关心你“本意”是数字，它只负责拼接，所以注入就发生了。
改成 #{} 后：
delete from sys_app_permission where id = ? -- 参数 '1 or 1=1' 作为整体传给数据库
数据库把 '1 or 1=1' 当成 id 的值去匹配（数字列会转换失败报错，而不是执行注入），注入被彻底堵死。
那什么时候必须用 ${}？
只有 表名/字段名这类标识符才必须用 ${}，因为 #{} 会给标识符加引号变成字符串值，SQL 不合法。
