这样拼接sql语句，会被sql入侵的

您说得对，使用字符串拼接 SQL 语句的方式存在 SQL 注入的风险，因为拼接的字符串中可能包含恶意的 SQL 语句，从而导致程序执行非预期的 SQL 操作。

为了避免 SQL 注入的风险，可以使用 MyBatis 提供的动态 SQL 功能。动态 SQL 允许我们在 SQL 语句中根据条件动态生成 SQL 片段，以达到类似字符串拼接的效果，同时又能够避免 SQL 注入的风险。

比如，在使用注解的方式传递集合参数时，可以使用 MyBatis 的动态 SQL 功能来生成 IN 子句，从而避免字符串拼接 SQL 的风险，示例如下：

public interface UserMapper {
    @Select({"<script>",
            "SELECT * FROM user WHERE id IN",
            "<foreach item='id' collection='ids' open='(' separator=',' close=')'>",
            "#{id}",
            "</foreach>",
            "</script>"})
    List<User> getUserListByIds(@Param("ids") List<Integer> ids);
}

在上述代码中，我们使用了 MyBatis 的动态 SQL 功能，使用 script 标签包裹 SQL 语句，并使用 foreach 标签遍历集合参数 ids，生成 IN 子句。其中，item、collection、open、separator、close 分别指定了变量名、集合参数、左括号、分隔符、右括号等。

使用动态 SQL 的方式可以有效避免 SQL 注入的风险，同时也比字符串拼接 SQL 更加灵活和安全。