MyBatis中可以通过使用参数化查询来防止SQL注入攻击。参数化查询是将SQL语句中的变量用占位符代替，然后将变量值通过参数传入，而不是直接将变量值拼接到SQL语句中。
以下是一个简单示例：
计算
安全
数据库
网络和加速
企业服务
@Select("SELECT * FROM users WHERE username=#{username} AND password=#{password}")
User getUser(@Param("username") String username, @Param("password") String password);
在这个例子中，#{username}和#{password}是占位符，实际的变量值将通过@Param注解传入。这样可以有效防止SQL注入攻击。
另外，MyBatis中还提供了sqlSessionFactory.getConfiguration().setSafeRowBoundsEnabled(true)方法，用于启用安全的分页查询，以防止恶意SQL注入攻击。同时，也要注意对用户输入进行验证和过滤，不要信任用户输入的内容。
亿速云「云服务器」，即开即用、新一代英特尔至强铂金CPU、三副本存储NVMe SSD云盘，价格低至29元/月。点击查看>>
推荐阅读：如何实现反向SQL注入防护
