mybatis防注入

在使用MyBatis进行SQL查询时，为了防止SQL注入攻击，我们应该使用#{xxx}来代替查询中的参数。这样MyBatis会使用PreparedStatement类进行预编译，将参数以安全的方式传递给数据库，并避免了SQL注入的风险。

预编译的过程是在执行SQL之前进行的，这样当多次执行相同的SQL语句时，可以节约编译时间，提高执行效率。而使用${xxx}进行字符串简单替换的方式，没有进行预编译，因此存在SQL注入的风险。

因此，为了确保数据的安全性，我们强烈推荐在MyBatis中使用#{xxx}来代替SQL语句中的参数。