mybatis查询传集合参数，集合参数的元素是引用类型，需要用到元素对象的成员属性，用注解的方式，考虑拼接sql语句，会被sql入侵的问题，

如果您的MyBatis查询中需要传入集合参数，并且集合参数的元素是引用类型，需要用到元素对象的成员属性，可以使用 MyBatis 的动态 SQL 功能来避免 SQL 注入问题。

您可以使用`<foreach>`标签来遍历集合参数，并在其中使用`${}`占位符来引用集合元素的成员属性。例如：

<select id="queryUsers" resultType="User">
  SELECT * FROM user WHERE id IN
  <foreach collection="userIds" item="userId" open="(" separator="," close=")">
    ${userId}
  </foreach>
</select>

在这个例子中，`userIds`是传入的集合参数，它包含多个`User`对象。`<foreach>`标签遍历了`userIds`集合，并将其中的每个`User`对象的`id`属性作为参数传递给 SQL 查询语句。

请注意，使用`${}`占位符引用集合元素的成员属性可能会存在 SQL 注入问题。为了避免这种情况，您可以将`${}`改为`#{}`占位符，这样 MyBatis 会自动将参数值转义，从而避免 SQL 注入问题。例如：

<select id="queryUsers" resultType="User">
  SELECT * FROM user WHERE id IN
  <foreach collection="userIds" item="userId" open="(" separator="," close=")">
    #{userId.id}
  </foreach>
</select>

在这个例子中，`#{userId.id}`会自动将 `id` 属性的值转义，从而避免 SQL 注入问题。