MyBatis防sql注入的方式

MyBatis 防止 SQL 注入攻击的方式主要有以下两种：

1. 使用参数化查询：和上面提到的一样，MyBatis 也支持参数化查询，可以在 SQL 语句中使用参数占位符，然后将参数值传入，从而防止 SQL 注入攻击。例如：

   <select id="getUserByName" resultType="User">
     select * from user where name = #{name}
   </select>

在这个例子中，#{name} 就是参数占位符，MyBatis 会将传入的 name 参数值安全地插入到 SQL 语句中。

2. 使用动态 SQL：MyBatis 还提供了动态 SQL 的功能，可以根据不同的条件生成不同的 SQL 语句，从而防止 SQL 注入攻击。例如：

   <select id="getUser" resultType="User">
     select * from user
     <where>
       <if test="name != null">
         and name = #{name}
       </if>
       <if test="age != null">
         and age = #{age}
       </if>
     </where>
   </select>

在这个例子中，<if> 标签用于判断是否需要添加 SQL 语句，如果参数值为 null，则不会添加相应的 SQL 语句，从而避免了 SQL 注入攻击。