Mybatis中如何通过Mapper.xml文件安全地使用SQL参数绑定，并结合Activiti工作流的示例解释${}和#{}的区别？

在Mybatis的Mapper.xml文件中，正确地使用参数绑定方式对于防止SQL注入至关重要。推荐使用`#{}`作为参数绑定的主要方式，因为它通过预编译技术提高了SQL的安全性并提升了性能。而`{}`由于其直接插入字符串值的特性，虽然提供了更灵活的动态SQL能力，但在安全性上存在较大风险，特别是当参数来源于用户输入时。

参考资源链接：[Mybatis ${}与#{ }的区别与安全解析](https://wenku.csdn.net/doc/6412b669be7fbd1778d469fc?spm=1055.2569.3001.10343)

为了安全地使用SQL参数绑定，并结合Activiti工作流示例，我们可以考虑以下场景：假设我们需要根据不同流程实例ID（processInstanceId）动态查询activiti的历史流程实例表`ACT_HI_PROCINST`。正确的做法是使用`#{}`来绑定参数，示例如下：

<select id=

参考资源链接：[Mybatis ${}与#{ }的区别与安全解析](https://wenku.csdn.net/doc/6412b669be7fbd1778d469fc?spm=1055.2569.3001.10343)