mybatis避免sql注入

MyBatis 中通过参数映射和 SQL 语句拼接的方式生成最终 SQL 语句，所以在使用 MyBatis 进行数据库操作时，为了避免 SQL 注入攻击，需要注意以下几点：

1. 使用参数占位符，而不是将参数值直接拼接到 SQL 语句中。
例如：

<select id="getUserByName" resultType="User">
    select * from user where name = #{name}
</select>

这里的 `#{name}` 就是参数占位符，MyBatis 会将参数值进行转义后插入到 SQL 语句中，从而避免了 SQL 注入攻击。

2. 对于动态 SQL ，使用 `<if>` 和 `<where>` 等标签进行条件判断和 SQL 语句拼接。
例如：

<select id="getUserByCondition" resultType="User">
    select * from user
    <where>
        <if test="name != null">
            and name = #{name}
        </if>
        <if test="age != null">
            and age = #{age}
        </if>
    </where>
</select>

这里的 `<where>` 和 `<if>` 标签可以根据条件动态生成 SQL 语句，从而避免了 SQL 注入攻击。

3. 避免使用拼接 SQL 语句的方式。
例如：

<select id="getUserByCondition" resultType="User">
    select * from user where 1 = 1
    <if test="name != null">
        and name = '${name}'
    </if>
    <if test="age != null">
        and age = '${age}'
    </if>
</select>

这里使用了 `${}` 表达式将参数值直接拼接到 SQL 语句中，容易造成 SQL 注入攻击，因此应该避免使用这种方式。