mybatis怎么避免sql注入

MyBatis 有一些内置的机制来帮助防止 SQL 注入攻击，下面是一些建议：

1. 使用参数化查询。使用参数化查询语句，可以将输入的数据转义或编码为安全的 SQL 查询语句，而不是拼接字符串。比如使用 `#{param}` 而不是 `${param}`。

2. 过滤输入参数。在输入参数之前，对其进行检查和过滤。比如检查输入参数是否为合法类型、是否为预期的长度或格式等。

3. 使用 MyBatis 的动态 SQL 标签。MyBatis 的动态 SQL 标签可以帮助你动态构建 SQL 查询语句，并且在构建过程中可以对输入参数进行过滤和转义。

4. 避免使用拼接字符串。如果必须拼接字符串，请使用 `CONCAT` 函数或类似的安全字符串函数。

在实际开发中，最好不要将用户输入的数据直接传递到 SQL 查询语句中，而是使用上述方法来防止 SQL 注入攻击。