一个坑：sql中问号(?)传参和 美元符号传参(${})的区别

？ 可能会把参数加一对引号，不忽略前后空格？

${}是字符串拼接，好处是字符串前后的空格会被忽略。。。

但拼接有可能导致SQL注入