springboot+mybatis如何防止sql注入

在 Spring Boot + Mybatis 中，防止 SQL 注入的方法如下：

1. 使用预编译语句

在 Mybatis 中，可以使用 #{} 作为占位符，Mybatis 会自动将其转换为预编译语句中的 ?，这样能够防止 SQL 注入攻击。

例如：

@Select("SELECT * FROM user WHERE username = #{username}")
User getUserByUsername(@Param("username") String username);

2. 使用 Mybatis 提供的参数类型转换器

Mybatis 提供了一些参数类型转换器，可以将传入的参数转换为安全的 SQL 语句。例如：

@Select("SELECT * FROM user WHERE id = #{id, jdbcType=INTEGER}")
User getUserById(@Param("id") Integer id);

3. 使用 Mybatis 提供的 SQL 过滤器

Mybatis 提供了一个 SQL 过滤器，可以对 SQL 语句进行过滤，将其中的非法字符转换为安全的字符。例如：

<plugins>
    <plugin interceptor="org.apache.ibatis.plugin.Interceptor">
        <property name="prop1" value="value1"/>
        <property name="prop2" value="value2"/>
    </plugin>
</plugins>

以上是几种防止 SQL 注入的方法，但最好的方法还是尽量避免使用动态 SQL 语句，尽量使用静态 SQL 语句。如果必须使用动态 SQL 语句，一定要保证传入的参数是安全的，可以通过正则表达式等手段进行校验。