在MyBatis中，可以使用动态SQL和参数化查询来避免SQL注入攻击。
例如，在Mapper XML文件中可以这样使用动态SQL：
<select id="getUserByName" parameterType="String" resultType="User">
SELECT * FROM user
<where>
<if test="name != null">
AND name = #{name}
</if>
</where>
</select>
#{}来指定参数，MyBatis会将参数值以安全的方式插入SQL语句中，避免SQL注入攻击。例如，在Mapper XML文件中可以这样使用参数化查询：
<select id="getUserByName" parameterType="String" resultType="User">
SELECT * FROM user
WHERE name = #{name}
</select>
通过使用动态SQL和参数化查询，可以有效地避免SQL注入攻击。同时，建议在输入参数之前进行验证和过滤，确保输入的数据符合预期的格式和范围。
