{}将传入的参数加上双引号作为字符串，可以防止SQL注入

${}将传入的参数直接替换，有些一般用于传入数据库对象，比如表名，列名，这些不能加双引号。