mybatis预防sql注入

MyBatis 是一个 Java 的持久层框架，它通过预编译 SQL 来防止 SQL 注入攻击。当你在 MyBatis 中编写 SQL 映射文件时，可以使用占位符（如 `${}` 或 `#{}`）来代替硬编码的值。这种方式会将用户输入替换为数据库的实际查询参数，而在发送到数据库之前，这些参数会被 MyBatis 安全地处理。

具体步骤如下：
1. **使用占位符**: 在 SQL 查询字符串中，使用 `${}` 或 `#{}` 替代变量名。例如：`SELECT * FROM users WHERE id = #{id}`。
2. **绑定参数**: 在执行 SQL 时，传入一个包含占位符对应值的对象（通常是 `Map` 或 `List`），MyBatis 会自动将这些值安全地转义并插入到 SQL 中。

此外，MyBatis 还支持动态 SQL，允许在运行时构建更复杂的查询，这时仍需使用预编译语句，以确保数据的安全。